Datenschutz

Verantwortlicher

Ein Datenschutzbeauftragter ist für uns gesetzlich nicht vorgeschrieben. Bei Fragen zum Datenschutz wendet euch bitte direkt an die oben genannte Adresse.

Kurz gesagt

Diese Website setzt keine Cookies, bindet keine Werbedienste ein und lädt keine Inhalte von fremden Servern nach. Schriften, Bilder und Skripte liegen auf unserem eigenen Server. Für die Reichweitenmessung nutzen wir eine selbst gehostete, cookiefreie Lösung, die keine personenbezogenen Daten speichert. Ein Zustimmungsbanner brauchen wir deshalb nicht. Für die Console unter app.regelt.ai, mit der unsere Kunden arbeiten, gilt ein eigener Abschnitt weiter unten: dort gibt es eine Anmeldung, ein Sitzungs-Cookie und ein Protokoll.

Allgemeine Hinweise

Speicherdauer

Soweit unten nicht ausdrücklich etwas anderes genannt ist, bleiben eure Daten bei uns, bis der Zweck der Verarbeitung entfällt oder ihr die Löschung verlangt. Gesetzliche Aufbewahrungspflichten, etwa aus dem Steuer- und Handelsrecht, bleiben davon unberührt.

Empfänger personenbezogener Daten

Wir geben Daten nur an Dritte weiter, wenn das zur Erfüllung eines Vertrags nötig ist, wir gesetzlich dazu verpflichtet sind oder ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO besteht. Setzen wir Auftragsverarbeiter ein, geschieht das nur auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Verschlüsselte Übertragung

Diese Website wird ausschließlich über eine TLS-verschlüsselte Verbindung ausgeliefert, erkennbar am Schloss in der Adresszeile eures Browsers.

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Aufruf der Website und Server-Logfiles

Beim Aufruf der Seite überträgt euer Browser technisch notwendige Daten an unseren Server, die dort in Logdateien gespeichert werden: aufgerufene Adresse, Datum und Uhrzeit, übertragene Datenmenge, Meldung über den erfolgreichen Abruf, Browsertyp und Version, Betriebssystem, Referrer-URL und IP-Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im stabilen und sicheren Betrieb der Website. Die Logdateien werden nach 14 Tagen gelöscht.

Hosting

Diese Website wird gehostet bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Server steht in Deutschland. Hetzner verarbeitet die oben genannten Logdaten in unserem Auftrag. Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

AI-Kennzeichnung über wirklich.ai

Auf allen Seiten läuft ein Skript von wirklich.ai, das kennzeichnet, wo AI im Spiel war. Auf der Seite AI-Transparenz zeigt es zusätzlich das vollständige Protokoll, in der Fußzeile ein Prüfsiegel. Grundlage ist Art. 50 der KI-Verordnung der EU, der eine Kennzeichnung verlangt.

Anbieter ist die wirklich.ai, betrieben von Conrad Lenz, Blissestraße 58, 10713 Berlin. Die Skripte werden von cdn.wirklich.ai geladen, einem Server in Deutschland. Dabei wird technisch bedingt eure IP-Adresse übertragen. Es werden keine Cookies gesetzt und keine Profile gebildet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, die Erfüllung einer rechtlichen Verpflichtung, ergänzend Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an nachvollziehbarer Kennzeichnung.

Reichweitenmessung mit Umami

Wir nutzen Umami, eine offene Analyse-Software, die wir selbst auf unserem eigenen Server unter stats.conradlenz.com betreiben. Es fließen also keine Daten an einen fremden Anbieter und keine Daten in Drittländer.

Umami arbeitet ohne Cookies und ohne Kennungen, die einzelne Personen wiedererkennbar machen. Gespeichert werden ausschließlich aggregierte Werte: aufgerufene Seite, Verweisquelle, Gerätetyp, Browser, Betriebssystem und das Herkunftsland. Die IP-Adresse wird zur Unterscheidung von Besuchen kurzzeitig verarbeitet, aber nicht gespeichert.

Eine Angabe, die Umami von Haus aus mitschickt, haben wir abgeschaltet: die Browsersprache. Wir werten sie nirgends aus, also verlässt sie euer Gerät gar nicht erst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, zu verstehen, welche Inhalte gelesen werden, um die Seite zu verbessern. Auf eurem Gerät wird nichts gespeichert, es werden keine Cookies gesetzt und nichts wiedererkannt. Ausgelesen wird allein die Bildschirmgröße, damit wir Mobilgerät und Schreibtisch unterscheiden können. Eine Einwilligung nach § 25 TDDDG halten wir deshalb nicht für erforderlich.

Terminbuchung

Auf der Seite „Erstgespräch vereinbaren" könnt ihr direkt einen freien Termin wählen. Verarbeitet werden dabei Name, E-Mail-Adresse, Unternehmen, euer Anliegen und der gewählte Termin. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Buchung ist eine vorvertragliche Maßnahme auf eure Anfrage hin.

Die freien Termine liegen in einem Google-Kalender. Mit der Buchung tragen wir euren Namen, euer Unternehmen und eure E-Mail-Adresse als Teilnahme in diesen Termin ein, damit ihr die Einladung samt Videolink bekommt. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Mit Google besteht ein Auftragsverarbeitungsvertrag. Eine Übermittlung an Server in den USA wird auf die EU-Standardvertragsklauseln gestützt, Google ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert. Ein Restrisiko durch Zugriffe von US-Behörden lässt sich nicht vollständig ausschließen.

Damit niemand automatisiert Termine belegt, läuft vor dem Absenden ein Spam-Schutz namens Cap. Euer Browser löst dabei eine kleine Rechenaufgabe, die in der Regel unter einer Sekunde dauert und ohne euer Zutun abläuft. Cap wird von uns selbst auf unserem Server betrieben, es werden keine Daten an Dritte übertragen und keine Cookies gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem funktionsfähigen Terminkalender.

Für den Versand der Bestätigungen nutzen wir Resend, betrieben von Resend Inc., 2261 Market Street, San Francisco, CA 94114, USA. Auch hier stützen wir die Übermittlung auf die EU-Standardvertragsklauseln und haben einen Auftragsverarbeitungsvertrag geschlossen.

Sagt ihr den Termin ab oder kommt keine Zusammenarbeit zustande, löschen wir die Buchungsdaten, sobald sie nicht mehr gebraucht werden. Entsteht eine Geschäftsbeziehung, gelten die steuer- und handelsrechtlichen Aufbewahrungsfristen.

Kontaktaufnahme per E-Mail

Wenn ihr uns direkt schreibt, verarbeiten wir eure E-Mail-Adresse und die Inhalte eurer Nachricht, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen mit Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO.

Wir bewahren die Korrespondenz so lange auf, wie es für die Bearbeitung nötig ist, und darüber hinaus nur, soweit gesetzliche Aufbewahrungsfristen bestehen.

Einsatz von AI bei Anfragen

Wir setzen Claude des Anbieters Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA ein, um eingehende Anfragen zu sichten und Antwortentwürfe vorzubereiten. Verarbeitet werden dabei die Angaben aus eurer Nachricht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag abzielt, sonst Art. 6 Abs. 1 lit. f DSGVO. Anthropic nutzt die übermittelten Inhalte nicht zum Training von Modellen. Nach den Commercial Terms werden Ein- und Ausgaben grundsätzlich nach 30 Tagen gelöscht. Die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln; ein Restrisiko durch Zugriffe von US-Behörden lässt sich nicht vollständig ausschließen. Mit Anthropic besteht ein Auftragsverarbeitungsvertrag.

Die Console unter app.regelt.ai

Die Console ist der Arbeitsplatz für unsere Kunden: Dort werden Regeln festgelegt, Freigaben entschieden und das Protokoll gelesen. Sie steht nur Personen offen, die ein Betrieb eingeladen hat. Was hier verarbeitet wird, verarbeiten wir im Auftrag des jeweiligen Betriebs nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags. Verantwortlich für die Daten seiner Mitarbeitenden, Kunden und Postfächer bleibt der Betrieb. Ausgenommen ist unser eigener Betrieb, für den wir die Console selbst nutzen.

Anmeldung

Ein Passwort gibt es nicht. Wer sich anmeldet, gibt seine E-Mail-Adresse ein und bekommt einen Link, der 15 Minuten gilt. Nach dem Klick setzt die Console ein Sitzungs-Cookie, das die Anmeldung für 30 Tage hält. Das Cookie ist technisch notwendig, § 25 Abs. 2 Nr. 2 TDDDG, und enthält nur eine zufällige Kennung. Gespeichert werden Name, E-Mail-Adresse, Zeitpunkt der Anmeldung und die IP-Adresse der Sitzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zugänge, Regeln und Freigaben

Ein Betrieb legt fest, welche Personen und welche AI-Tools in seinem Namen arbeiten dürfen und mit welcher Rolle. Dazu speichern wir je Zugang Name, Rolle, Tool (etwa ChatGPT oder Claude) und Status. Regeln und Freigaben speichern wir mit Zeitpunkt, Inhalt und der Person, die entschieden hat. Freigabe-Anfragen und Erinnerungen gehen per E-Mail an die Personen, die im Betrieb entscheiden.

Protokoll

Jede Aktion, die eine AI über die Console anfragt, wird protokolliert: wer, wann, welche Quelle, welche Aktion, welche Regel und wie entschieden wurde. Das Protokoll wird nur angehängt, nie verändert, und jeder Eintrag ist über eine Prüfsumme mit dem vorherigen verkettet. Damit ist nachweisbar, was eine AI im Namen des Betriebs getan hat. Die Inhalte selbst, etwa der Text einer Mail, die zur Freigabe vorlag, speichern wir getrennt vom Protokoll. Sie lassen sich auf Wunsch löschen, ohne dass die Kette bricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Nachweispflicht des Betriebs ergänzend Art. 6 Abs. 1 lit. c. Das Protokoll bleibt, solange der Vertrag mit dem Betrieb läuft, danach so lange, wie gesetzliche Aufbewahrungsfristen es verlangen.

Bausteine: Postfach und Kalender

Bindet ein Betrieb sein Google-Postfach oder seinen Google-Kalender an, handelt die Console dort im Namen des Betriebs, über eine Freigabe im Google-Workspace-Konto des Betriebs. Wir lesen und schreiben nur, was eine Regel erlaubt oder eine Person freigegeben hat. Zugangsdaten speichern wir verschlüsselt. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Verarbeitung durch Google richtet sich nach dem Vertrag zwischen dem Betrieb und Google.

Anbindung von ChatGPT und Claude

Die AI-Tools des Betriebs verbinden sich über eine Schnittstelle mit der Console. Die Verbindung wird über OAuth freigegeben: Die Person meldet sich in der Console an und bestätigt, welches Tool in ihrem Namen anfragen darf. Wir speichern nur Prüfsummen der Zugangs-Token, nie die Token selbst. Die Verträge mit OpenAI und Anthropic schließt der Betrieb selbst; wir sehen nur die Anfragen, die das Tool an die Console stellt.

E-Mail-Versand, Hosting und Sicherung

Anmelde-Links, Einladungen und Freigabe-Mails versenden wir über Resend, betrieben von Resend Inc., 2261 Market Street, San Francisco, CA 94114, USA, auf Grundlage der EU-Standardvertragsklauseln und eines Auftragsverarbeitungsvertrags. Die Console läuft auf einem Server der Hetzner Online GmbH in Deutschland, jeder Betrieb in einer eigenen Datenbank. Eine Sicherung wird täglich auf dem Server angelegt und 14 Tage aufbewahrt, dazu eine Kopie in einem getrennten Speicher bei Hetzner in Deutschland, die 30 Tage bleibt.

AI über Regelt

Nutzt ein Betrieb Routinen, Agenten oder Bausteine über unseren Zugang, etwa für Bilder, Video und Sprache, rufen wir dafür weitere Anbieter mit unserem eigenen Schlüssel auf. Das sind zurzeit: Anthropic Ireland, Limited, Cloudflare, Inc., OpenAI Ireland Ltd, Google Cloud EMEA Limited, BytePlus Pte. Ltd., Recraft, Inc., Eleven Labs Inc., BFL GmbH (Black Forest Labs). Wofür jeder davon da ist, welche Daten hingehen, wo er verarbeitet, auf welcher Grundlage und ob er mit den Daten trainieren darf, steht in Anlage 2 unseres Auftragsverarbeitungsvertrags. Ein Anbieter, der mit Eingaben trainieren darf, läuft nur, wenn der Auftrag ihn ausdrücklich wählt und der Betrieb solche Anbieter in der Console zulässt.

Betreuung

Betreut ein Partner, etwa eine Kanzlei oder wir selbst, einen Betrieb, sieht er dessen Console mit den Rechten eines Betreuers. Jede Änderung, die ein Betreuer vornimmt, landet im Protokoll des Betriebs und ist dort für den Betrieb sichtbar.

Keine Cookies, kein Profiling

Auf dieser Website setzen wir keine Cookies und binden weder Google Fonts noch externe Videoplayer, Kartendienste oder Social-Media-Plugins ein. Es findet kein geräteübergreifendes Tracking und kein Profiling statt, und wir geben keine Daten zu Werbezwecken weiter.

Eure Rechte

Ihr habt gegenüber uns folgende Rechte hinsichtlich eurer personenbezogenen Daten:

• Auskunft über die gespeicherten Daten, Art. 15 DSGVO
• Berichtigung unrichtiger Daten, Art. 16 DSGVO
• Löschung, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art. 18 DSGVO
• Datenübertragbarkeit, Art. 20 DSGVO
• Widerspruch gegen die Verarbeitung, Art. 21 DSGVO

Eine formlose Nachricht per E-Mail genügt. Außerdem könnt ihr euch bei einer Aufsichtsbehörde beschweren, Art. 77 DSGVO. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, könnt ihr aus Gründen, die sich aus eurer besonderen Situation ergeben, jederzeit widersprechen. Bei Verarbeitung zu Zwecken der Direktwerbung gilt das Widerspruchsrecht ohne weitere Begründung.

Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Verarbeitung ändert, etwa durch neue Funktionen auf der Website oder in der Console. Stand: 23. Oktober 2026.