Datenschutzerklärung

1. Verantwortlicher

Clience.Legal Rechtsanwalts GmbH, Am Veitsbronner Weg 23, 90556 Seukendorf.
Vertreten durch: Rechtsanwalt Darius Dubiel.
Telefon: 0911 97129576, E-Mail: kanzlei@clience.legal.

2. Aufruf der Website

Beim Aufruf der Website verarbeitet der Server die von Ihrem Browser übermittelten technischen Daten, soweit das für die Auslieferung der Seite erforderlich ist. Dabei entsteht ein Zugriffsprotokoll mit dem aufgerufenen Pfad, dem Zeitpunkt, dem Antwortstatus, der übertragenen Datenmenge, der verweisenden Adresse und der IP-Adresse. Das Protokoll dient dem sicheren Betrieb, der Erkennung von Störungen und missbräuchlichen Zugriffen sowie der Feststellung, wie viele Besucher die Seite erreichen. Es wird nicht dauerhaft aufbewahrt: Das System überschreibt die ältesten Einträge automatisch, sobald der dafür vorgesehene Speicherplatz erschöpft ist. Eine Zusammenführung mit anderen Daten findet nicht statt, ein Nutzungsprofil entsteht daraus nicht. Das Hosting erfolgt auf Servern der Hetzner Online GmbH in Deutschland (Ziffer 3); dabei können auf Netz- und Systemebene weitere technisch erforderliche Betriebsprotokolle anfallen. Rechtsgrundlage der technischen Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und funktionsfähiger Betrieb).

3. Hosting

Die Website und die Anwendung laufen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; die Verarbeitung erfolgt auf Servern in Deutschland und damit in der Europäischen Union. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Datenbank und erzeugte Dokumente liegen auf verschlüsselten Datenträgern.

4. Cookies

Diese Website verwendet genau zwei Cookies, beide technisch notwendig, beide ohne Tracking:

• complymate_check hält die Kennung Ihres Prüfdurchlaufs, damit Ihre Antworten nach einem Seitenwechsel und nach der Rückkehr von der Zahlungsseite wieder auffindbar sind. Gültigkeit 90 Tage.
• __Host-sitzung hält Ihre Anmeldung im Kundenkonto. Gültigkeit 30 Tage; in der Datenbank liegt nur ein kryptographischer Hash.

Daneben legt die Seite zwei Einträge im Speicher Ihres Browsers ab, ebenfalls ohne Tracking: complymate.check (lokaler Speicher) hält dieselbe Kennung Ihres Prüfdurchlaufs wie das Cookie complymate_check, damit ein Neuladen der Seite Ihre Antworten nicht verliert, und bleibt, bis Sie ihn löschen; cm_f2_v1 (lokaler Speicher) hält Ihre Antworten und Ihre Auswahl im Fragebogen unter /kennzeichnung, damit Sie später an derselben Stelle weitermachen können. Dieser Eintrag bleibt auf Ihrem Gerät; unseren Server erreichen Ihre Antworten erst mit der Bestellung (Ziffer 5a). Liegt Ihr letzter Besuch der Seite mehr als 30 Tage zurück, löscht die Seite den Eintrag beim nächsten Aufruf. Beide Einträge können Sie in den Einstellungen Ihres Browsers löschen.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den ausdrücklich gewünschten Dienst) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Analyse-, Werbe- oder Drittanbieter-Cookies setzen wir nicht; ein Einwilligungsbanner ist deshalb nicht erforderlich.

4a. Anonyme Reichweitenmessung

Wir zählen, wie oft ein Schritt unserer Seite erreicht wird, etwa wie viele Besucher einen Check beginnen, an welcher Frage sie aufhören und wie viele das Angebot ansehen. Ohne diese Zahlen wüssten wir nicht, an welcher Stelle unsere Seite unverständlich ist.

Gespeichert werden ausschließlich der Name des Ereignisses und der Zeitpunkt, den unser Server selbst setzt; bei einigen Ereignissen zusätzlich die Nummer einer Frage, die gewählte Inhaltsart oder die gewählten Pläne, ein angegebener Grund (etwa „Preis“) oder eine Herkunftsangabe aus einer festen Liste (etwa „reel“ oder „mail“). Die Herkunftsangabe stammt aus der aufgerufenen Adresse und ist für alle Besucher desselben Weges gleich. Nicht gespeichert werden: Ihre IP-Adresse, eine Kennung, ein Cookie, ein Wiedererkennungsmerkmal Ihres Geräts oder ein Zeitstempel Ihres Browsers. Die einzelnen Ereignisse lassen sich weder untereinander noch mit Ihnen verbinden; es entsteht kein Nutzungsprofil und keine Sitzung.

Weil dabei kein Personenbezug entsteht und nichts auf Ihrem Gerät gespeichert oder ausgelesen wird, ist dafür weder eine Einwilligung nach § 25 Abs. 1 TDDDG noch eine Rechtsgrundlage nach der DSGVO erforderlich. Ein Drittanbieter ist nicht beteiligt; die Zahlen bleiben auf unserem Server.

5. Der KI-Check und Ihre Antworten

Der kostenlose Check stellt zehn Fragen mit fest vorgegebenen Auswahlmöglichkeiten; Freitext entsteht nicht. Mit dem Abschluss des Checks werden Ihre zehn Antworten auf unserem Server gespeichert und mit einer zufälligen Kennung verknüpft; Ihr Ergebnis sehen Sie sofort auf dem Bildschirm. Ihre IP-Adresse wird dabei nicht gespeichert.

Zwecke: die Anzeige und Wiederauffindbarkeit Ihres Prüfprofils und, wenn Sie den Starter kaufen, die automatisierte Erstellung Ihrer Dokumente aus genau diesen Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen beziehungsweise des Vertrags).

Speicherdauer: Ohne Konto und ohne Kauf werden die Antworten nach 90 Tagen automatisch gelöscht. Verknüpfen Sie sie mit einem Konto, bleiben sie bis zur Löschung des Kontos gespeichert. Antworten, aus denen ein gekauftes Dokument entstanden ist, bleiben als Beleg der Bestellung erhalten; bei Kontolöschung wird ihr Bezug zu Ihrer Person entfernt (Ziffer 9).

Ihre E-Mail-Adresse. Nach der letzten Frage bitten wir Sie um Ihre E-Mail-Adresse. Unmittelbar danach erscheint Ihr Prüfprofil auf dem Bildschirm, und wir senden es Ihnen zusätzlich per E-Mail zu, damit Sie es später wiederfinden. Ein Passwort vergeben Sie dabei nicht, und ein Konto entsteht nicht. Rechtsgrundlage für diese Zusendung ist Art. 6 Abs. 1 lit. b DSGVO: Sie ist die Leistung, um die Sie gebeten haben. Wir speichern die Adresse am jeweiligen Prüfdurchlauf und löschen sie mit ihm (Ziffer 9).

Tipps und Angebote per E-Mail nur mit Ihrer Einwilligung, und erst nach Bestätigung. Ob wir Ihnen darüber hinaus schreiben dürfen, entscheiden Sie gesondert über ein eigenes Kästchen, das nicht vorausgewählt ist. Sein Wortlaut benennt Inhalt und Häufigkeit: „Schicken Sie mir Tipps und Angebote der Kanzlei zur KI-Compliance im Unternehmen per E-Mail: drei Mails in den ersten zwei Wochen, danach etwa viermal im Jahr bei Rechtsänderungen. Abbestellen jederzeit.“ Wie es danach weitergeht, steht in Ziffer 5b.

5a. Der Fragebogen zur Absicherungsstrategie

Unter complymate.de/kennzeichnung beantworten Sie Fragen zu Ihrem Einsatz von KI und wählen die Pläne, die Sie bestellen möchten. Die Seite wertet Ihre Antworten in Ihrem Browser aus. Solange Sie nicht bestellen, erreichen Ihre Antworten unseren Server nicht (zum Speicher in Ihrem Browser Ziffer 4).

Wählen Sie im Bestellfenster „Weiter zur Zahlung“, übermittelt Ihr Browser Ihre Antworten und Ihre Auswahl an unseren Server. Wir prüfen sie auf Vollständigkeit und speichern sie mit Ihrer Bestellung; nach Ihrer Zahlung entstehen Ihre Pläne aus genau diesen Antworten. Die Antworten beschreiben Ihr Unternehmen und seinen Einsatz von KI. Personenbezogene Daten enthalten sie in der Regel nicht; Ausnahmen sind die freiwillige Adresse Ihrer Website und Angaben, die Sie selbst in das Freitextfeld für weitere Tools eintragen. Mit Ihrer Bestellung verbunden, können sich die Antworten auf Sie als Person beziehen, etwa wenn Sie als Einzelunternehmer bestellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Durchführung des Vertrags).

Kommt die Zahlung zustande, bewahren wir die Antworten wie die übrigen Bestelldaten auf (Ziffer 6 und 9). Kommt sie nicht zustande, löschen wir die Antworten mit der offenen Bestellung nach sieben Tagen.

Bis zum 23.10.2026 bot diese Seite den Kennzeichnungs-Check mit Prüfprotokoll per E-Mail und den Konfigurator des Starter Kennzeichnung. Einwilligungen in Tipps und Angebote aus diesem Check behandeln wir weiter nach Ziffer 5b. Bei Bestellungen des Starter Kennzeichnung gehören die im Konfigurator gewählten Inhaltsarten, Antworten und Kanäle sowie die Adresse Ihrer Website zur Bestellung (Ziffer 6); Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5b. Tipps und Angebote per E-Mail

Bestätigung. Damit feststeht, dass die angegebene Adresse Ihnen gehört, verwenden wir ein Bestätigungsverfahren: Sie erhalten nach dem Ankreuzen eine gesonderte E-Mail mit einem Verweis. Erst wenn Sie ihn anklicken, schreiben wir Ihnen. Klicken Sie nicht, erhalten Sie keine solche E-Mail: Beim Kennzeichnungs-Check löschen wir Adresse und Vermerk dann nach 72 Stunden, beim KI-Check verfällt der Vermerk mit Ihrem Prüfdurchlauf (Ziffer 9). Ihr Prüfprofil oder Prüfprotokoll bekommen Sie unabhängig davon.

Inhalt und Häufigkeit. Nach Ihrer Bestätigung erhalten Sie in den ersten zwei Wochen drei E-Mails mit Tipps zum Thema Ihres Checks und mit unserem Angebot dazu, danach etwa viermal im Jahr einen Hinweis, wenn sich die Rechtslage ändert. Kaufen Sie das Angebot, zu dem die ersten drei E-Mails führen, endet diese Folge; dafür gleichen wir Ihre Adresse mit unseren Bestellungen ab.

Abbestellen. Jede dieser E-Mails enthält einen eigenen Verweis zum Abbestellen; viele E-Mail-Programme zeigen dafür zusätzlich einen Knopf. Sie können die Einwilligung außerdem jederzeit formlos an kanzlei@clience.legal widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Was wir speichern. Ihre E-Mail-Adresse, die Fassung des Kästchens, das Sie angekreuzt haben, den Zeitpunkt des Ankreuzens und den Ihrer Bestätigung, die Herkunftsangabe aus der festen Liste (Ziffer 4a), die Zeitpunkte der versandten E-Mails und gegebenenfalls den Zeitpunkt Ihres Widerrufs. Die Verweise zum Bestätigen und zum Abbestellen speichern wir nur als kryptographischen Hash. Das ist der Nachweis, den Art. 7 Abs. 1 DSGVO verlangt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG; der Abgleich mit den Bestellungen dient allein dazu, Ihnen nach einem Kauf keine überflüssigen E-Mails zu schicken.

Speicherdauer. Die bestätigte Einwilligung speichern wir getrennt von Ihrem Prüfdurchlauf; sie bleibt bestehen, bis Sie sie widerrufen. Nach einem Widerruf bewahren wir den Nachweis noch drei Jahre auf und löschen ihn dann. Die Frist entspricht der Regelverjährung nach § 195 BGB: Der Nachweis dient allein der Abwehr von Ansprüchen, und was diesen Zweck überdauert, wird gelöscht.

5c. Anfrageformular

Über das Anfrageformular, etwa für den persönlichen kostenlosen Erstkontakt, können Sie uns schreiben. Wir verarbeiten Ihr Anliegen, Ihren Namen, Ihre E-Mail-Adresse und, wenn Sie sie angeben, Unternehmen, Telefonnummer und Nachricht. Öffnen Sie das Formular nach dem KI-Check, fügen wir eine kurze Zusammenfassung Ihrer Antworten bei, damit wir uns vorbereiten können; dazu kommt die Herkunftsangabe aus der festen Liste (Ziffer 4a).

Ihre Anfrage geht als E-Mail an die Kanzlei und wird zur Bearbeitung auf unserem Server gespeichert. Eine automatische Bestätigung an die eingegebene Adresse senden wir bewusst nicht, damit niemand das Formular nutzen kann, um Dritten E-Mails zu schicken. Zweck ist die Beantwortung Ihrer Anfrage und gegebenenfalls die Anbahnung eines Mandats; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir löschen die Anfrage nach 180 Tagen automatisch. Entsteht ein Mandat, führen wir die Angaben in unserer Kanzleiverwaltung nach den dort geltenden Fristen weiter.

6. Konto, Anmeldung, Kauf

Für das Kundenkonto verarbeiten wir Ihre E-Mail-Adresse und ein Passwort; das Passwort wird ausschließlich als argon2id-Hash gespeichert und ist aus diesem nicht rückrechenbar. Beim Kauf verarbeiten wir zusätzlich die Bestelldaten (Produkt, Preis, Zeitpunkte), den Zeitstempel Ihrer Zustimmung zur sofortigen Bereitstellung und den Zeitstempel Ihrer Bestätigung, als Unternehmer zu bestellen. Ihre Rechnungsanschrift, Ihre Firmierung und, falls Sie sie angeben, Ihre Umsatzsteuer-Identifikationsnummer erhebt Stripe auf der Zahlungsseite (Ziffer 7); die dort angegebene Firmierung übernehmen wir in Ihre Bestellung, solange Sie im Konto keine eigene eingetragen haben. Nach der Zahlung ergänzen Sie in Ihrem Konto die vier Angaben zu Ihrem Unternehmen (Firmierung, Betriebsrat, Beschäftigtenzahl, Datenschutzbeauftragter) und, wenn Sie ohne Check gekauft haben, die zehn Antworten des KI-Checks; jede dieser Angaben können Sie dort jederzeit einzeln ändern. Beim Starter Kennzeichnung gehört zur Bestellung Ihre Auswahl aus dem Konfigurator (Ziffer 5a); berichtigen Sie sie später in Ihrem Konto, speichern wir die neue und die bisherige Auswahl und den Zeitpunkt der Berichtigung. Zu jeder Bestellung speichern wir außerdem die Herkunftsangabe aus der festen Liste (Ziffer 4a), also über welchen Weg Sie zu uns gekommen sind; so erkennen wir, welche unserer Wege zu Käufen führen. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Steuerung unserer Werbung); eine Kennung, die Sie über Seiten hinweg verfolgt, entsteht dabei nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung der Bestellbelege Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.

Beim Kauf von Plänen der Absicherungsstrategie gehören zur Bestellung Ihre Antworten aus dem Fragebogen (Ziffer 5a) und die Firmierung, die Sie auf der Zahlungsseite angeben. Besteht unter der bei Stripe angegebenen E-Mail-Adresse noch kein Kundenkonto, legen wir mit der Zahlung eines ohne Passwort an und ordnen ihm die Bestellung zu; ein Passwort können Sie über „Passwort vergessen“ setzen. Bitten Sie per E-Mail um eine Berichtigung Ihrer Antworten (AGB § 9 Abs. 3), speichern wir die berichtigten Antworten an Ihrer Bestellung und vermerken den Zeitpunkt.

Nach dem Anlegen des Kontos senden wir Ihnen eine E-Mail mit einem Verweis, über den Sie bestätigen, dass die Adresse Ihnen gehört. Das Konto können Sie schon vorher nutzen; die Bestätigung dient dem Schutz vor Eingaben fremder Adressen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir speichern, wann wir die E-Mail gesendet und wann Sie bestätigt haben.

7. Zahlungsabwicklung durch Stripe

Die Zahlung wickelt Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, als Zahlungsdienstleister ab. Sie geben Ihre Zahlungsdaten direkt bei Stripe ein; uns erreichen sie nicht. Auf der Zahlungsseite erhebt Stripe außerdem Ihre Rechnungsanschrift und Ihre Firmierung sowie, wenn Sie sie angeben, Ihre Umsatzsteuer-Identifikationsnummer. Wir erhalten von Stripe die Bestätigung der Zahlung, eine Vorgangskennung, die von Ihnen bei Stripe angegebene E-Mail-Adresse, die dort angegebene Firmierung und die Angaben zu Ihrer Rechnung (Rechnungsnummer und Abrufverweise). Die Rechnung erstellt und versendet Stripe nach Ihrer Zahlung automatisch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags). Stripe ist ein eigenständiger Verantwortlicher für die Zahlungsabwicklung und gehört zu einem Konzern mit Sitz in den USA; dabei kann es zu einer Übermittlung personenbezogener Daten in die USA kommen. Stripe stützt diese Übermittlung auf einen Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) und auf Standardvertragsklauseln. Einzelheiten: https://stripe.com/de/privacy. Ohne diese Übermittlung ist eine Kartenzahlung nicht möglich; das sagen wir so deutlich, weil es stimmt.

8. Erzeugte Dokumente und Systemmails

Die gekauften Dokumente werden aus Ihren Antworten erzeugt, tragen Ihre Firmierung und liegen zum Herunterladen in Ihrem Konto. Die Pläne der Absicherungsstrategie senden wir Ihnen außerdem als Anhang einer E-Mail an die Adresse, die Sie bei der Zahlung angegeben haben. Der Abruf ist nur mit Ihrer Anmeldung möglich; zusätzlich können zeitlich befristete Abruflinks (72 Stunden) entstehen, die nur je eine Datei tragen. Nach einer Löschung Ihres Kontos bewahren wir die erzeugten Dokumente wie die Bestellbelege auf (§ 257 HGB: sechs Jahre, § 147 AO: bis zu zehn Jahre); der Bezug zu Ihrer Person wird dabei entfernt (Ziffer 9).

Wir versenden System-E-Mails, die zum jeweiligen Vorgang gehören: die Bestätigung Ihrer Adresse nach der Kontoanlage (Ziffer 6), Passwort setzen, Bestellbestätigung, Bereitstellung der Unterlagen, die Liefermail mit Ihren Plänen im Anhang, die Zusendung Ihres Prüfprofils nach dem KI-Check (Ziffer 5) und Ihres Prüfprotokolls nach dem Kennzeichnungs-Check (Ziffer 5a) sowie die Bitte um Bestätigung, wenn Sie ein Kästchen für Tipps und Angebote angekreuzt haben (Ziffer 5b). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Als Kunde des Starter Kennzeichnung erhalten Sie außerdem zwölf Monate lang einen Hinweis per E-Mail, wenn sich die Rechtslage zur Kennzeichnung ändert; das gehört zur gekauften Leistung. Werbliche E-Mails versenden wir nur mit Ihrer bestätigten Einwilligung (Ziffer 5b).

Alle unsere E-Mails bestehen nur aus Text und enthalten keine externen Bilder und keine Zählpixel. Verweise darin tragen höchstens eine für alle Empfänger gleiche Herkunftsangabe (etwa „von=mail“) und keine persönliche Kennung; ob und wann Sie eine E-Mail öffnen, erfahren wir nicht. Persönlich zugeordnet sind allein die Verweise zum Bestätigen und zum Abbestellen, weil sie sonst ihren Zweck nicht erfüllen. Für den Versand nutzen wir einen E-Mail-Dienstleister mit Sitz in Deutschland als Auftragsverarbeiter nach Art. 28 DSGVO; er verarbeitet Ihre Adresse und den Inhalt der jeweiligen E-Mail, soweit der Versand es erfordert.

9. Löschung

Anonyme Prüfdurchläufe löschen wir nach 90 Tagen automatisch. Haben Sie am Ende des KI-Checks Ihre E-Mail-Adresse angegeben, ohne ein Konto anzulegen, so wird sie mit diesem Durchlauf gelöscht. Eine Einwilligung in Tipps und Angebote behandeln wir eigens (Ziffer 5b): unbestätigt löschen wir sie beim Kennzeichnungs-Check nach 72 Stunden und beim KI-Check mit dem Prüfdurchlauf; bestätigt speichern wir sie getrennt, bis Sie sie widerrufen, danach bewahren wir den Nachweis drei Jahre auf und löschen ihn dann (§ 195 BGB). Anfragen aus dem Formular löschen wir nach 180 Tagen (Ziffer 5c). Bestellungen, zu denen keine Zahlung eingeht, löschen wir mit allen Angaben nach sieben Tagen, auch die Antworten aus dem Fragebogen (Ziffer 5a). Sitzungen und Passwort-Token verfallen mit ihrem Ablauf und werden täglich aufgeräumt. Ihr Konto können Sie jederzeit selbst im Konto löschen, ohne E-Mail an uns: Dabei werden Ihre Kontodaten gelöscht und der Bezug Ihrer Check-Antworten zu Ihrer Person entfernt. Bestellbelege müssen wir handels- und steuerrechtlich aufbewahren (§ 257 HGB: sechs Jahre, § 147 AO: bis zu zehn Jahre); sie werden bei der Kontolöschung von Ihrer Person getrennt und einem neutralen Platzhalter zugeordnet.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO). Wenden Sie sich an den Verantwortlichen aus Ziffer 1. Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu; zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

11. Keine automatisierte Entscheidungsfindung

Die Dokumente werden zwar automatisiert aus Ihren Antworten zusammengestellt; eine automatisierte Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), ist damit nicht verbunden. Sie entscheiden selbst, ob und wie Sie die Dokumente einsetzen.

12. Wie wir mit Daten umgehen: die Voreinstellung

Diese Anwendung ist so gebaut, dass möglichst wenig anfällt, und das Wenige geschützt ist. Konkret: Außer dem Hoster (Ziffer 3) arbeitet für uns nur ein weiterer Dienstleister, der E-Mail-Versand (Ziffer 8); die Zahlung wickelt Stripe als eigenständiger Verantwortlicher ab (Ziffer 7), weil Kartenzahlung ohne Zahlungsdienstleister nicht geht. Es gibt keinen Analysedienst, keine Einbindung von Drittservern, keine Werbe-Cookies und keine Zählpixel in E-Mails. IP-Adressen speichern wir nicht, auch nicht gehasht. Passwörter liegen nur als argon2id-Hash vor, Sitzungs- und Abruf-Token nur als SHA-256-Hash. Datenbank und Dokumente liegen auf verschlüsselten Datenträgern, die Sicherungen werden vor dem Ablegen verschlüsselt. Löschfristen laufen automatisch, nicht auf Zuruf. Was wir nicht speichern, kann nicht abfließen; was wir speichern müssen, ist begründet und befristet. Die eine Ausnahme benennt Ziffer 7: Ohne den Zahlungsdienstleister und dessen US-Bezug gibt es keine Kartenzahlung; das ist der Preis dieser Funktion, und wir halten ihn für vertretbar, verschweigen ihn aber nicht.