Datenschutzerklärung

1. Einleitung und Geltungsbereich

Wir freuen uns über Ihr Interesse an assistic. Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. In dieser Datenschutzerklärung informieren wir Sie darüber, welche personenbezogenen Daten wir verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage das geschieht, und welche Rechte Ihnen zustehen.

Diese Datenschutzerklärung gilt für die von uns betriebene Website assistic.de sowie für unser Kundenportal (portal.assistic.de) und unsere Verwaltungsoberfläche (admin.assistic.de) einschließlich der darin eingebetteten Funktionen (insbesondere des Chat-Assistenten, der Termin- und Kontaktanfragen sowie des Bestell- und Buchungsvorgangs).

„Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Einbindung des Chat-Assistenten auf Kundenwebsites

Wir stellen den Chat-Assistenten auch als einbindbares Widget für Websites unserer Kunden bereit. Wird das Widget auf einer Kundenwebsite eingebunden, ist für die dortige Datenverarbeitung der jeweilige Websitebetreiber (unser Kunde) datenschutzrechtlich verantwortlich; wir verarbeiten die Eingaben der Endnutzer insoweit ausschließlich in dessen Auftrag als Auftragsverarbeiter (Art. 28 DSGVO). Vor der Einbindung auf einer Kundenwebsite schließen wir mit dem Kunden einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO. Für die Verarbeitung auf einer Kundenwebsite gilt zusätzlich die Datenschutzerklärung des jeweiligen Betreibers. Die vorliegende Erklärung beschreibt die Verarbeitung durch assistic als Anbieter im Rahmen von assistic.de.

2. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Jakob Buchmüller (Einzelunternehmen, Kleinunternehmer § 19 UStG)
Von-Leibniz-Straße 23
53424 Remagen, Deutschland
Telefon: +49 173 7076945
E-Mail: info@assistic.de

Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht besteht nach derzeitiger Einschätzung weder nach § 38 BDSG noch nach Art. 37 Abs. 1 DSGVO.

3. Ihre Rechte als betroffene Person

Ihnen stehen hinsichtlich der Sie betreffenden personenbezogenen Daten folgende Rechte zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO)

Verarbeiten wir Ihre Daten zu Zwecken der Direktwerbung, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen diese Verarbeitung einzulegen. Legen Sie Widerspruch ein, verarbeiten wir Ihre Daten nicht mehr für diesen Zweck. Eine formlose Mitteilung an die oben genannte E-Mail-Adresse genügt; dabei entstehen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Nachrichten zu Ihrem Auftrag erhalten Sie davon unabhängig weiter. Ein Profiling zu Werbezwecken findet nicht statt.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz
https://www.datenschutz.rlp.de

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an die oben genannte E-Mail-Adresse. Bei begründeten Zweifeln an Ihrer Identität können wir zusätzliche Angaben zu deren Bestätigung verlangen (Art. 12 Abs. 6 DSGVO).

4. Allgemeines zur Datenverarbeitung

Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertrag / vorvertragliche Maßnahmen), lit. c DSGVO (rechtliche Verpflichtungen), lit. f DSGVO (berechtigte Interessen, z. B. sicherer Betrieb, Beantwortung von Anfragen ohne Vertragsbezug, Zustellbarkeit von E-Mails, Direktwerbung gegenüber eigenen Bestandskunden) sowie lit. a DSGVO (Einwilligung, soweit eingeholt).

Datensicherheit

Die Website und alle Formular- und Bestellvorgänge werden verschlüsselt über TLS (HTTPS) übertragen. Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Eine absolute Sicherheit der Datenübertragung im Internet kann nicht gewährleistet werden.

Empfänger und Drittlandübermittlung

Personenbezogene Daten geben wir nur weiter, soweit dies zur Vertragserfüllung erforderlich ist, eine gesetzliche Verpflichtung besteht oder Sie eingewilligt haben. Eingesetzte Dienstleister sind, soweit sie Daten in unserem Auftrag verarbeiten, nach Art. 28 DSGVO gebunden. Eine Gesamtübersicht finden Sie in Abschnitt 12.

Für Übermittlungen in die USA weisen wir darauf hin, dass dort kein dem europäischen Recht in jeder Hinsicht gleichwertiges Datenschutzniveau besteht und US-Behörden unter bestimmten Voraussetzungen Zugriff nehmen können, ohne dass Betroffenen stets vergleichbare Rechtsbehelfe wie in der EU zur Verfügung stehen. Wir stützen solche Übermittlungen, soweit möglich, auf einen Angemessenheitsbeschluss (insbesondere das EU-U.S. Data Privacy Framework) und ergänzend auf die Standardvertragsklauseln der EU-Kommission. Eine Kopie der zugrunde liegenden Garantien (Standardvertragsklauseln) stellen wir Ihnen auf Anfrage an info@assistic.de zur Verfügung; die DPF-Zertifizierung des jeweiligen Empfängers ist unter www.dataprivacyframework.gov abrufbar.

5. Hosting und Server-Logfiles

Hetzner Online GmbH
Industriestr. 25, 91710 Gunzenhausen, Deutschland

Website und Backend werden bei Hetzner in einem Rechenzentrum in Deutschland gehostet. Es besteht ein Auftragsverarbeitungsvertrag; eine Drittlandübermittlung ist hierbei nicht vorgesehen.

Server-Logfiles

Beim Aufruf der Website erfasst der Server automatisch: vollständige IP-Adresse, Datum und Uhrzeit, aufgerufene URL und HTTP-Statuscode, übertragene Datenmenge, Referrer (sofern übermittelt) sowie Browsertyp und Betriebssystem.

Die Verarbeitung dient der technischen Auslieferung, der Systemsicherheit und der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung der vollständigen IP-Adresse ist zur Erkennung und Abwehr von Angriffen erforderlich; eine Auswertung zu Werbe- oder Analysezwecken oder eine Zusammenführung mit anderen Datenquellen findet nicht statt. Die Logfiles werden täglich automatisch rotiert; wir bewahren nur eine feste, begrenzte Zahl von Tagesständen auf und löschen ältere Einträge automatisch. Die Aufbewahrung beträgt damit rund zwei Wochen.

Sicherungskopien

Von den Systemen und Datenbanken erstellen wir automatisch verschlüsselte Sicherungskopien und legen sie auf einem Speicherplatz desselben Anbieters (Hetzner) in einem Rechenzentrum in Deutschland ab. Zweck ist die Wiederherstellbarkeit nach technischen Störungen, Fehlbedienung oder Angriffen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei Vertragsdaten zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Auf die Sicherungen greifen wir ausschließlich zur Wiederherstellung zu, nicht zur laufenden Auswertung.

Ältere Sicherungsstände werden nach einem festen, gestaffelten Turnus (tägliche, wöchentliche und monatliche Stände) automatisch verworfen; der älteste vorgehaltene Stand reicht rund ein halbes Jahr zurück. Löschen wir Daten im laufenden System, verschwinden sie aus den Sicherungen deshalb nicht im selben Moment, sondern mit dem Auslaufen des jeweiligen Standes. Bis dahin ist ihre Verarbeitung eingeschränkt: Auf Sicherungen greifen wir ausschließlich zur Wiederherstellung nach einer Störung zu. Kehren dabei bereits gelöschte Daten zurück, löschen wir sie unverzüglich erneut.

6. Cookies und lokale Speicher (§ 25 TDDDG)

Unsere Website setzt nach derzeitigem Stand keine einwilligungspflichtigen Cookies und kein Tracking ein. Es findet keine Reichweitenmessung, kein Web-Analyse-Dienst und kein nutzerübergreifendes Profiling statt.

Das Chat-Widget speichert einen einzelnen technischen Wert im lokalen Speicher (localStorage) Ihres Browsers, um sich zu merken, dass Sie den Assistenten bereits geöffnet bzw. dessen Nutzung bestätigt haben, damit dieser Hinweis nicht bei jedem Aufruf erneut erscheint. Der Gesprächsverlauf wird dabei nicht im lokalen Speicher abgelegt. Dieser Zugriff ist zur Bereitstellung des von Ihnen aufgerufenen Dienstes erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Es werden hierüber keine Cookies gesetzt und keine Daten an Dritte übertragen. Der Wert verbleibt in Ihrem Browser, bis Sie ihn dort löschen.

7. Datenerhebung auf der Website

Kontakt- und Terminanfragen über den Chat-Assistenten

Wenn Sie über den Assistenten eine Anfrage stellen oder einen Termin anbahnen, verarbeiten wir die von Ihnen angegebenen Daten – typischerweise Name, E-Mail-Adresse oder Telefonnummer, Ihr Anliegen sowie einen gewünschten Terminzeitpunkt. Rechtsgrundlage ist bei Anfragen mit Vertragsbezug Art. 6 Abs. 1 lit. b DSGVO; bei allgemeinen Anfragen ohne Vertragsbezug Art. 6 Abs. 1 lit. f DSGVO.

Website-Briefing-Formular

Im Rahmen einer Bestellung oder Aktion (z. B. „kostenloser Entwurf") können Sie uns Angaben zu Ihrem Unternehmen, Ihre Kontaktdaten und Ihre Gestaltungswünsche übermitteln. Diese Daten verarbeiten wir zur Angebots- und Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden auf unserer Infrastruktur bei Hetzner (Deutschland) verarbeitet.

Kontaktaufnahme per E-Mail und Kontaktformular

Nehmen Sie per E-Mail oder über das Kontaktformular Kontakt auf, verarbeiten wir Ihre Angaben (typischerweise Name, E-Mail-Adresse und den Inhalt Ihrer Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist bei Anfragen mit Vertragsbezug Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen ohne Vertragsbezug Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung Ihres Anliegens). Das Kontaktformular auf der Startseite und unter /kontakt öffnet Ihr eigenes E-Mail-Programm; eine serverseitige Speicherung der Formulareingaben durch uns findet dabei nicht statt. Unser E-Mail-Postfach betreiben wir bei der netcup GmbH in Deutschland (siehe Abschnitt 12).

Kündigungsformular

Über unser Kündigungsformular (assistic.de/kuendigen) verarbeiten wir Ihre Angaben (Art der Kündigung, Name, E-Mail-Adresse, ggf. Firma, Vertrags- oder Kundennummer, gewünschter Beendigungszeitpunkt und Ihre Nachricht), um Ihre Kündigung entgegenzunehmen, zu bearbeiten und Ihnen den Zugang in Textform zu bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 312k Abs. 3 BGB (gesetzliche Bestätigungspflicht). Anders als beim Kontaktformular werden diese Angaben serverseitig verarbeitet: Die Verarbeitung erfolgt auf unserer Infrastruktur bei Hetzner (Deutschland); der Bestätigungsversand erfolgt über Brevo (siehe Abschnitt 11). Kündigungserklärungen bewahren wir für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen auf.

Kundenkonto und Anmeldung im Kundenportal

Für Kundinnen und Kunden mit laufendem Vertrag richten wir ein Konto im Kundenportal (portal.assistic.de) ein. Zu diesem Konto speichern wir eine Anmelde-Kennung, den Anlagezeitpunkt, die Rolle des Kontos sowie Ihr Passwort ausschließlich als kryptografischen Prüfwert (bcrypt-Hash); das Passwort selbst wird zu keinem Zeitpunkt im Klartext gespeichert. Angemeldet wird mit der E-Mail-Adresse, die als Kontaktadresse zu Ihrem Vertrag hinterlegt ist: Wir ordnen die Eingabe über diese Kontaktadresse Ihrem Konto zu. Die Adresse wird dafür nicht zusätzlich erhoben, sondern zusätzlich verwendet; der Kontodatensatz selbst enthält keine E-Mail-Adresse. Zweck ist die Bereitstellung des Portals, über das Sie Ihre Leistungen, Anfragen und Einstellungen einsehen und verwalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags).

Ihr Passwort wählen Sie selbst. Nach Vertragsschluss erhalten Sie dafür einen Einmal-Link, der sieben Tage gültig ist; über die Funktion „Passwort vergessen" können Sie jederzeit einen neuen anfordern, der 60 Minuten gültig ist. Passwörter versenden wir nicht. Zu einem solchen Link speichern wir nur einen kryptografischen Prüfwert (SHA-256-Hash) des Tokens, dazu die Anmelde-Kennung sowie Ausstellungs-, Ablauf- und Verbrauchszeitpunkt; der Link selbst wird nicht gespeichert. Jeder Link ist nur einmal verwendbar, und mit dem Ausstellen eines neuen Links verlieren offene ältere Links ihre Gültigkeit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Nach der Anmeldung setzen wir zwei Cookies: eines mit Ihrer Sitzungskennung, das ausschließlich der Server auslesen kann (httpOnly), und eines zum Schutz vor Anfragen von fremden Seiten (CSRF). Die Sitzung endet mit der Abmeldung, spätestens jedoch nach acht Stunden; nach 30 Minuten ohne Aktivität meldet das Portal Sie automatisch ab. Beide Cookies sind zur Bereitstellung des von Ihnen aufgerufenen Dienstes unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; die damit verbundene Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Zu Analyse- oder Werbezwecken werden sie nicht verwendet.

Zum Schutz Ihres Kontos zählen wir fehlgeschlagene Anmeldeversuche und sperren die Anmeldung nach zehn Fehlversuchen für 15 Minuten; zusätzlich ist die Zahl der Anmeldeversuche und der Anforderungen neuer Passwort-Links je Zeitraum begrenzt. Sicherheitsrelevante Vorgänge protokollieren wir mit Zeitpunkt, Art des Vorgangs, Anmelde-Kennung und IP-Adresse, insbesondere: erfolgreiche und fehlgeschlagene Anmeldung, Anmeldeversuch bei gesperrtem Konto, Abmeldung, Passwortänderung sowie Anforderung, Einlösung und Fehlschlag eines Passwort-Links; ferner Änderungen an Einstellungen, Wissensbasis und Dienstleistungen, das Verbinden und Trennen eines Kalenders (einschließlich der Adresse des verbundenen Kontos), das Beginnen, Abbrechen, Herstellen und Trennen einer Instagram-Verbindung (einschließlich des Namens des verbundenen Kontos) und das Anfordern eines Vorgangs-Links. Passwörter, deren Prüfwerte und die Links selbst werden dabei nicht protokolliert. Passt eine Eingabe auf kein Konto, halten wir sie nur verkürzt fest (Beispiel: j…@….de), damit keine Angaben zu Personen gespeichert werden, die nicht in einer Kundenbeziehung zu uns stehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb des Portals, in der Abwehr unberechtigter Zugriffe und in der Nachvollziehbarkeit sicherheitsrelevanter Vorgänge. Sie können dieser Verarbeitung nach Maßgabe von Abschnitt 3 widersprechen.

Die Verarbeitung findet auf unserer Infrastruktur bei Hetzner in Deutschland statt (Abschnitt 5); der Versand der Passwort-Links erfolgt über den in Abschnitt 11 genannten Dienst. Weitere Empfänger sind daran nicht beteiligt; zur Übermittlung auf der Ebene der Unterauftragnehmer siehe Abschnitt 11. Zur Speicherdauer siehe Abschnitt 13.

Instagram-Verbindung im Kundenportal

Betreiben wir für Sie eine Website, können Sie im Kundenportal Ihr geschäftliches Instagram-Konto verbinden, damit Ihre zuletzt veröffentlichten Beiträge auf Ihrer Website erscheinen. Die Verbindung stellen Sie selbst her; sie ist freiwillig, Ihre Website funktioniert auch ohne sie. Mit dem Verbinden beauftragen Sie uns mit diesem Zusatzbaustein. Beim Verbinden werden Sie zu Instagram weitergeleitet und melden sich dort an; diesen Vorgang verantwortet Meta aus Ihrem Nutzungsverhältnis zu Instagram.

Nach dem Verbinden speichern wir zu Ihrem Konto: die Instagram-Kennung und den Kontonamen, einen Zugriffsschlüssel von Instagram ausschließlich in verschlüsselter Form nebst seinem Ablaufzeitpunkt, das Zielverzeichnis Ihrer Website auf unserem Server, die Zeitpunkte des letzten Abrufs und der letzten Verlängerung, etwaige Fehlermeldungen und den Zustand der Verbindung, die Anzahl der angezeigten Beiträge sowie Anlage- und Änderungszeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von Ihnen aktivierten Bausteins).

Einmal täglich rufen wir mit diesem Schlüssel die zuletzt veröffentlichten Beiträge Ihres Kontos ab; dabei fallen mehrere Einzelabrufe an (Beitragsliste und Bilddateien), und wir verlängern bei Bedarf den Zugriffsschlüssel. Empfänger ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Übermittelt werden dabei der Zugriffsschlüssel und die technischen Angaben der Anfrage; Daten über die Besucherinnen und Besucher Ihrer Website werden dabei nicht übermittelt. Meta ist hierbei nicht unser Auftragsverarbeiter, sondern gegenüber Ihnen eigener Verantwortlicher aus Ihrem Nutzungsverhältnis zu Instagram; es gelten zusätzlich die Datenschutzhinweise von Meta (privacycenter.instagram.com/policy). Die abgerufenen Bilder verkleinern wir auf unserem Server in Deutschland, entfernen dabei die eingebetteten Aufnahme-Zusatzdaten (etwa Standortangaben) und liefern sie von dort aus. Beim Aufruf Ihrer Website entsteht dadurch keine Verbindung zu Instagram oder Meta.

Sie können die Verbindung im Kundenportal jederzeit mit einem Klick trennen. Wir fordern den Widerruf des Zugriffsschlüssels bei Meta an und löschen ihn bei uns unverzüglich, ebenso die gespeicherten Bilder und den Abschnitt auf Ihrer Website. Dasselbe geschieht nach dem Ende des Vertragsverhältnisses. Zur Speicherdauer siehe Abschnitt 13.

Für die Inhalte Ihrer Beiträge sind Sie datenschutzrechtlich verantwortlich; die Bilder verarbeiten wir insoweit ausschließlich in Ihrem Auftrag (Art. 28 DSGVO). Die Information der abgebildeten Personen nach Art. 14 DSGVO erfolgt über Ihre eigene Datenschutzerklärung. Bevor Sie die Verbindung herstellen, prüfen Sie bitte, ob Sie an den gezeigten Bildern die erforderlichen Rechte haben und ob abgebildete Personen der Veröffentlichung auf Ihrer Website zugestimmt haben – eine Zustimmung für Instagram deckt eine andere Veröffentlichung nicht ohne Weiteres ab.

Zugang ohne Konto (Vorgangs-Link)

Briefing, Änderungswünsche und den Stand Ihres Auftrags können Sie auch ohne Anmeldung bearbeiten: Nach dem Kauf enthält unsere E-Mail einen persönlichen Link, der 30 Tage gültig ist. Über „Neuen Link anfordern“ können Sie jederzeit einen frischen an die hinterlegte Adresse schicken lassen; der zuvor ausgestellte Link verliert damit seine Gültigkeit. Der Link ist signiert und wird selbst nicht gespeichert – wir hinterlegen an Ihrem Datensatz nur die Kennung des jeweils gültigen Links, damit ältere Links entwertet werden können. Wer den Link hat, sieht die Angaben zu diesem Vorgang; behandeln Sie ihn deshalb wie ein Passwort. Auf die Anfrage nach einem neuen Link antworten wir immer gleich, unabhängig davon, ob zu der Adresse ein Vorgang besteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Inhalte im Kundenportal

Im Rahmen eines laufenden Auftrags verarbeiten wir zusätzlich die Angaben, die im Portal anfallen:

• Stammdaten zum Auftrag – Firma, Ansprechpartner, Kontaktdaten und Anschrift sowie interne Vermerke zur Betreuung (z. B. Absprachen aus einem Telefonat).
• Anfragen, Aufgaben und Nachrichten – Betreff, Beschreibung, Priorität, Status und der Nachrichtenverlauf zwischen Ihnen und uns, jeweils mit Zeitpunkt.
• Erfassung der Änderungen – zu jedem beauftragten Änderungswunsch halten wir den Abrechnungsmonat und die Bemessungsgrundlage fest, damit die Zählung nach unseren AGB nachvollziehbar bleibt.
• Projektunterlagen – Dateien, die zu Ihrem Auftrag gehören (z. B. Entwürfe), mit Dateiname, Dateityp, Größe und Zeitpunkt. Sie können sie im Portal herunterladen.
• Rechnungen und Belege – Rechnungsnummer, Bezeichnung, Betrag, Status und Datum.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags), für die internen Vermerke zur Betreuung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Auftragsbearbeitung); Sie können dieser Verarbeitung nach Maßgabe von Abschnitt 3 widersprechen. Wir beschränken diese Vermerke auf auftragsbezogene Sachangaben. Rechnungsdaten unterliegen zusätzlich Art. 6 Abs. 1 lit. c DSGVO. Nach Beendigung des Vertrags stützen wir eine verbleibende Aufbewahrung auf Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten) und, bei streitigen Ansprüchen, auf Art. 6 Abs. 1 lit. f DSGVO.

Eine Anforderung erreicht uns nicht nur über das Portal, sondern je nach Absprache auch per E-Mail, Telefon oder im Gespräch vor Ort. Damit ein Vorgang vollständig an einer Stelle steht, halten wir sie in diesen Fällen mit demselben Inhalt im Portal fest und vermerken, auf welchem Weg und wann sie eingegangen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ihre Nachricht bleibt zusätzlich in dem Kanal, über den Sie sie gesendet haben. E-Mails liegen in unserem Postfach bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland; mit netcup besteht ein Auftragsverarbeitungsvertrag, eine Drittlandübermittlung ist hierbei nicht vorgesehen. Aus dem Portal exportieren wir keine Daten in andere Kanäle.

Angebote zu eigenen ähnlichen Leistungen (Bestandskunden)

Nach einem Kauf verwenden wir die dabei angegebene E-Mail-Adresse auch, um Ihnen Angebote zu eigenen ähnlichen Leistungen zu unterbreiten, etwa den Chat-Assistenten zu der von uns für Sie erstellten Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Direktwerbung gegenüber eigenen Bestandskunden (Erwägungsgrund 47 Satz 7 DSGVO), unter den Voraussetzungen des § 7 Abs. 3 UWG. Wir nutzen Ihre Adresse dafür ausschließlich für eigene Leistungen und geben sie zu diesem Zweck nicht an Dritte weiter. Auf Ihr Widerspruchsrecht weisen wir Sie bereits bei der Erhebung sowie in jeder entsprechenden Nachricht hin. Nach einem Widerspruch nehmen wir Ihre Adresse in eine Sperrliste auf, die wir vor jedem Versand prüfen (siehe Abschnitt 3).

8. KI-gestützter Chat-Assistent

Zur Erzeugung der Antworten wird Ihre Eingabe an unseren Dienstleister Mistral AI S.A.S., 15 rue des Halles, 75001 Paris, Frankreich, übermittelt und dort verarbeitet. Mit Mistral AI besteht ein Auftragsverarbeitungsvertrag. Mistral kann Subunternehmer einsetzen und dabei Daten auch außerhalb der EU/des EWR verarbeiten; solche Übermittlungen sind durch die Standardvertragsklauseln abgesichert (vgl. Abschnitt 4).

Verarbeitet werden die von Ihnen eingegebenen Texte. Bitte geben Sie im Chat keine sensiblen Daten und nicht mehr personenbezogene Daten ein, als für Ihr Anliegen erforderlich sind.

Den Gesprächsverlauf legen wir in unserer Datenbank nicht dauerhaft ab; er wird für die Dauer der Sitzung verarbeitet. In technischen Protokollen werden nur Nutzungskennzahlen ohne Gesprächsinhalte gespeichert. Eine Nutzung Ihrer Eingaben zum Training der KI-Modelle des Anbieters haben wir in den Kontoeinstellungen deaktiviert.

Der Assistent generiert ausschließlich Antworten und nimmt Anfragen entgegen. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

9. Terminbuchung und Kalender (Google)

Wenn Sie über den Assistenten einen Termin verbindlich buchen, übertragen wir die erforderlichen Termindaten (insbesondere Name, Kontaktdaten, Zeitpunkt und Anlass des Termins) in den von uns genutzten Kalenderdienst Google Calendar. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, gegebenenfalls unter Einbindung der Google LLC, USA. Bitte geben Sie als Terminanlass nur die notwendigen Angaben an.

Die Verarbeitung dient der Durchführung des vereinbarten Termins (Art. 6 Abs. 1 lit. b DSGVO). Mit der Nutzung kann eine Verarbeitung in den USA verbunden sein (vgl. Abschnitt 4); die Übermittlung ist über das EU-U.S. Data Privacy Framework und die Standardvertragsklauseln abgesichert. Es besteht ein Auftragsverarbeitungsvertrag. Wir behalten uns vor, künftig weitere Kalenderdienste (z. B. Microsoft Outlook/365) anzubinden; diese Erklärung wird dann entsprechend aktualisiert.

10. Zahlungsabwicklung (Mollie)

Für die Abwicklung von Zahlungen nutzen wir Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande. Bei einer Bestellung werden die erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Bestell- und Zahlungsdaten sowie ein SEPA-Lastschriftmandat) an Mollie übermittelt. Für laufende Leistungen werden Mandats- und Zahlungsdaten für die Dauer des Vertragsverhältnisses zur wiederkehrenden Abbuchung verarbeitet.

Die Verarbeitung dient der Zahlungsabwicklung und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie der Einhaltung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Mollie verarbeitet die Zahlungsdaten als eigenständig Verantwortlicher, auch zur Erfüllung eigener gesetzlicher Pflichten (z. B. Geldwäsche- und Aufsichtsrecht); ein Auftragsverarbeitungsvertrag besteht mit Mollie daher nicht und ist hierfür auch nicht erforderlich. Es gelten ergänzend die Datenschutzhinweise von Mollie (mollie.com/de/privacy). Die Übermittlung erfolgt innerhalb der EU. Vollständige Zahlungsmitteldaten werden bei Mollie verarbeitet; wir selbst speichern die zur Vertrags- und Buchhaltungsabwicklung notwendigen Bestell- und Mandatsdaten.

11. E-Mail-Versand (Brevo)

Zur Versendung dienstbezogener E-Mails (z. B. Bestell- und Buchungsbestätigungen, Zugangsinformationen, Reports) sowie von Angeboten zu eigenen ähnlichen Leistungen nach Abschnitt 7 nutzen wir den Transaktions-Mail-Dienst Brevo. Anbieter ist Sendinblue SAS (auftretend unter der Marke „Brevo"), 9–17 rue Salneuve, 75017 Paris, Frankreich.

Verarbeitet werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht. Zur Sicherstellung der Zustellbarkeit verarbeitet der Dienst zusätzlich Zustell-Metadaten (insbesondere zu Rückläufern/Bounces und Spam-Beschwerden) und führt eine Unterdrückungsliste nicht erreichbarer bzw. widersprechender Adressen. Der Versand beruht auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), bei Angeboten zu eigenen ähnlichen Leistungen auf Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 7); die Verarbeitung der Zustell-Metadaten und der Unterdrückungsliste auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässiger Zustellbarkeit).

Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Der Versand selbst erfolgt über Server innerhalb der Europäischen Union. Der Anbieter setzt dafür Unterauftragnehmer ein, die teilweise ihren Sitz oder Serverstandort außerhalb der Europäischen Union haben, insbesondere für technische Betriebs-, Sicherheits- und Unterstützungsleistungen. Diese Übermittlungen nimmt der Anbieter vor und stützt sie auf die Standardvertragsklauseln der Europäischen Kommission oder auf einen Angemessenheitsbeschluss der Kommission (vgl. Abschnitt 4). Welche Unterauftragnehmer der Anbieter derzeit einsetzt, teilen wir Ihnen auf Anfrage namentlich mit.

12. Auftragsverarbeiter und Empfänger – Übersicht

Mit allen genannten Dienstleistern, die Daten in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Mollie und Meta verarbeiten nicht in unserem Auftrag, sondern als eigene Verantwortliche; ein Auftragsverarbeitungsvertrag besteht mit ihnen nicht und ist hierfür nicht erforderlich. Die vorgenannten Garantien betreffen nur die von uns beauftragten Dienstleister: Drittlandübermittlungen werden auf das EU-U.S. Data Privacy Framework und/oder die Standardvertragsklauseln gestützt.

13. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorsehen:

• Server-Logfiles: tägliche Rotation mit einer festen, begrenzten Zahl aufbewahrter Tagesstände; ältere Einträge werden automatisch gelöscht (Aufbewahrung damit rund zwei Wochen)
• Sicherheits- und Zugriffsprotokolle des Kundenportals (Anmeldungen, Passwortvorgänge, Änderungen an Einstellungen): wöchentliche Rotation mit einer festen, begrenzten Zahl aufbewahrter Wochenstände; ältere Einträge werden automatisch gelöscht
• Kundenkonto im Kundenportal (Anmelde-Kennung, Passwort-Prüfwert, Anlagezeitpunkt, Zähler fehlgeschlagener Anmeldeversuche): für die Dauer des Vertragsverhältnisses; nach dessen Ende löschen wir das Konto samt Passwort-Prüfwert und noch offener Einmal-Links. Laufende Anmeldungen enden damit sofort. Bestell-, Rechnungs- und Zahlungsdaten bleiben davon unberührt, soweit gesetzliche Aufbewahrungspflichten bestehen (siehe unten)
• Einmal-Links zur Passwortvergabe: der gespeicherte Prüfwert wird mit Ablauf der Gültigkeit des Links (siehe Abschnitt 7) gegenstandslos und beim nächsten Schreibvorgang entfernt
• Terminanfragen/Buchungen in unserem System: automatische Löschung 3 Tage nach Eingang der Anfrage bzw. nach dem Termin. Der zugehörige Eintrag im Kalender bleibt als Terminnachweis bestehen und wird von uns entfernt, wenn er nicht mehr benötigt wird oder Sie uns dazu auffordern.
• Vorgangs-Links (Zugang ohne Konto): 30 Tage ab Ausstellung; mit dem Anfordern eines neuen Links wird der vorherige sofort ungültig
• Anfragen, Aufgaben und Nachrichten im Portal, Erfassung beauftragter Änderungen, Projektunterlagen: für die Dauer des Vertragsverhältnisses; nach dessen Beendigung löschen wir sie innerhalb von 30 Tagen (§ 12 Abs. 5 unserer AGB), mit Ausnahme der Angaben, die einer Rechnung zugrunde liegen — diese bewahren wir mit der Rechnung auf. Ist zu diesem Zeitpunkt ein Anspruch aus dem Vertrag streitig oder uns gegenüber angekündigt, schränken wir die Verarbeitung der betroffenen Unterlagen bis zu dessen Erledigung auf die Geltendmachung und Verteidigung von Rechtsansprüchen ein (Art. 17 Abs. 3 lit. e, Art. 18 Abs. 1 lit. c DSGVO)
• Interne Vermerke zur Betreuung: Löschung mit Wegfall des Zwecks, spätestens 30 Tage nach dem Ende der Geschäftsbeziehung; ist zu diesem Zeitpunkt ein Anspruch aus dem Vertrag streitig oder uns gegenüber angekündigt, gilt die oben beschriebene Einschränkung der Verarbeitung entsprechend
• Instagram-Verbindung (Zugriffsschlüssel, Kontoname, Verbindungszustand) und die daraus abgerufenen Bilder: bis Sie die Verbindung trennen, längstens für die Dauer des Vertragsverhältnisses; endet das Vertragsverhältnis, fordern wir den Widerruf des Schlüssels bei Meta an und löschen ihn samt Bildern innerhalb von 30 Tagen (§ 12 Abs. 5 AGB). Ist Ihre Website-Instanz abgeschaltet oder gelöscht, wird der Schlüssel nicht mehr verlängert und läuft aus
• Sicherungskopien: Löschung mit dem Auslaufen des jeweiligen Sicherungsstandes nach festem, gestaffeltem Turnus (der älteste vorgehaltene Stand reicht rund ein halbes Jahr zurück)
• Chat-Eingaben: keine dauerhafte serverseitige Ablage der Verläufe
• E-Mail-Versand: Versand-Metadaten nur kurzfristig; die Unterdrückungsliste nicht erreichbarer oder widersprechender Adressen führt unser Versanddienstleister (Abschnitt 11), solange sie zur Zustellqualität erforderlich ist
• Werbewidersprüche: dauerhaft in einer Sperrliste, damit wir sie dauerhaft beachten können (Art. 6 Abs. 1 lit. c i. V. m. Art. 21 Abs. 3 DSGVO). Gespeichert werden nur die zur Sperre erforderlichen Angaben — E-Mail-Adresse oder Name und Anschrift, Eingangszeitpunkt und Eingangsweg. Wir gleichen sie ausschließlich vor einer Werbeansprache ab und verwenden sie nie für Werbung selbst
• Kontakt-/Briefing-Anfragen: Löschung nach Bearbeitung bzw. Wegfall des Zwecks
• Bestell-, Vertrags-, Zahlungs- und Mandatsdaten: für die Vertragsdauer, danach gemäß den handels- und steuerrechtlichen Aufbewahrungsfristen: 6 Jahre für Geschäftsbriefe, 8 Jahre für Rechnungen und Buchungsbelege (§§ 147 AO, 14b UStG, 257 HGB)
• Kündigungserklärungen: Aufbewahrung nach den handels- und steuerrechtlichen Fristen (§§ 257 HGB, 147 AO), soweit ein Vertragsverhältnis besteht; Erklärungen ohne zuordenbaren Vertrag löschen wir nach Klärung
• Lokaler Speicher (localStorage): verbleibt im Browser, bis Sie ihn löschen

14. Pflicht zur Bereitstellung; keine automatisierte Entscheidung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Für den Abschluss eines Vertrags oder die Bearbeitung einer Anfrage sind jedoch bestimmte Angaben (z. B. Kontaktdaten) erforderlich; ohne diese können wir die Leistung nicht erbringen. Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

15. Minderjährige

Unser Angebot richtet sich an Unternehmen und an volljährige Personen. Wir erheben nicht wissentlich personenbezogene Daten von Kindern. Sollten Sie minderjährig sein, nutzen Sie den Chat-Assistenten und die Formulare bitte nur mit Einwilligung der Erziehungsberechtigten.

16. Keine externen Einbettungen / selbstgehostete Schriften

Unsere Website bindet keine externen Inhalte Dritter (z. B. Karten, Videos, Schrift-CDNs) ein, die beim Seitenaufruf automatisch Daten an Dritte übertragen würden. Die verwendeten Schriftarten werden von unserem eigenen Server ausgeliefert (kein Google-Fonts-CDN).

17. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den Stand September 2026. Durch die Weiterentwicklung unseres Angebots oder geänderte gesetzliche Vorgaben kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist auf assistic.de/datenschutz abrufbar.

← Zurück zur Startseite