§Rechtliches

Datenschutzerklärung

Welche Daten diese Website verarbeitet, wozu, auf welcher Rechtsgrundlage, wer daran beteiligt ist und wie lange wir sie speichern.

Stand: 27. Oktober 2026

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

headon
Inhaber: Onur Cirakoglu
Am Vogelsberg 8
97922 Lauda-Königshofen
Deutschland

E-Mail: hallo@headon.pro
Telefon: +49 176 63040241

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter diesen Kontaktdaten.

Das Wichtigste in Kürze

Wir setzen keine Cookies zu Analyse- oder Werbezwecken. In Ihrem Browser speichern wir nur, was Sie selbst auslösen: Ihre Wahl zwischen hellem und dunklem Design, ein in den Live-Ausschnitten unserer Produkte gewähltes Bundesland, den Zwischenstand des KI-Checks ab Ihrer ersten Antwort, solange der Tab geöffnet ist, und das Anmelde-Cookie der Team-Version des KI-Pass.
Die Reichweitenmessung läuft mit Rybbit auf unserem eigenen Server – ohne Cookies, ohne Speicherung in Ihrem Browser und ohne Wiedererkennung über andere Websites hinweg.
Unser Server steht in Nürnberg, unsere Datenbank in Frankfurt am Main. Die Website und die Statistik werden direkt von diesem Server ausgeliefert, ohne zwischengeschalteten Dienst.
Anfragen löschen wir automatisch nach einem Jahr.
Der KI-Assistent „Frag headon“ nutzt das Sprachmodell Claude von Anthropic. Was Sie dort eingeben, wird dafür an Anthropic übermittelt.

Hosting und Auslieferung

Server

Die Website und unsere Statistik-Instanz laufen auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg. Hetzner verarbeitet die Daten in unserem Auftrag. Die Übertragung zwischen Ihrem Browser und der Website ist per TLS verschlüsselt.

Zweck: Bereitstellung der Website, Betrieb und Sicherheit
Daten: Alle Daten, die bei der Nutzung anfallen: IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browser- und Geräteangaben, Formulareingaben
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb
Empfänger: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Auftragsverarbeiter (Art. 28 DSGVO)
Drittland: Keine Übermittlung

Protokolle

Unser Webserver schreibt für diese Website keine Zugriffsprotokolle. Die Anwendung protokolliert technische Fehlermeldungen, damit wir Störungen beheben können; IP-Adressen werden dabei nicht erfasst.

Speicherdauer: Die Fehlerprotokolle werden fortlaufend überschrieben, sobald sie 15 MB erreichen (drei Dateien zu je 5 MB), und bei jeder Aktualisierung der Website vollständig gelöscht.

Schutz vor Missbrauch

Um Formulare und den KI-Assistenten vor automatisiertem Missbrauch zu schützen, zählen wir Anfragen je IP-Adresse – höchstens fünf Formularanfragen, 20 Chat-Nachrichten und 30 Downloads aus dem Richtlinien-Generator pro Stunde. Die IP-Adresse liegt dafür nur im Arbeitsspeicher des Servers, wird nicht mit anderen Daten verknüpft und nach Ablauf des Zeitfensters von 60 Minuten automatisch gelöscht. Formulare enthalten außerdem ein für Menschen unsichtbares Feld, an dem wir automatisierte Eingaben erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, die Dienste verfügbar zu halten und Missbrauch abzuwehren.

Reichweitenmessung mit Rybbit

Um zu verstehen, welche Inhalte genutzt werden und wo die Website hakt, verwenden wir das Statistik-Werkzeug Rybbit. Wir betreiben es selbst auf unserem Server bei Hetzner (rybbit.headon.pro); die Daten gehen an keinen weiteren Anbieter.

Rybbit setzt keine Cookies. Rybbits eigenes Skript laden wir nicht; unsere Seiten senden die Angaben selbst und speichern dabei nichts in Ihrem Browser. Gezählt wird erst, wenn Sie die Maus bewegen, die Seite antippen oder eine Taste drücken oder die Seite drei Sekunden sichtbar ist. Einen Besuch erkennt Rybbit über einen Hash aus IP-Adresse, Browserkennung und einem täglich wechselnden Zufallswert wieder; dieser Hash ist für jede unserer Websites ein anderer, über andere Websites hinweg erkennt Rybbit Sie nicht wieder. Sendet Ihr Browser das Signal „Global Privacy Control“, senden unsere Seiten nichts an Rybbit. Auf den Einladungsseiten und den Prüfseiten für Nachweise des KI-Pass Team läuft keine Statistik, weil deren Adresse einen Einladungscode oder eine Nachweis-Kennung enthält.

Zweck: Statistische Auswertung der Nutzung, Verbesserung von Inhalten und Technik
Daten: Aufgerufene Seiten (die Adresse ohne den Teil nach „#“; von den Parametern nur Kampagnen-Angaben und die Herkunft von einer unserer eigenen Seiten) mit Seitentitel, Verweisquelle, Browser, Betriebssystem, Gerätetyp, das Land und der Netzbetreiber (aus der IP-Adresse abgeleitet, zum Beispiel Ihr Internetanbieter; Region, Stadt, Bildschirmgröße und Sprache erfassen wir nicht), Zeitpunkt der Aufrufe, Klicks auf Schaltflächen, dass eine Anfrage abgeschickt wurde (nur über welches Formular, ohne Inhalte), Klicks auf Links zu fremden Websites (nur deren Adresse, ohne Parameter), Ansicht und Klick der Live-Ausschnitte unserer Produkte (nur welcher Ausschnitt), Scrolltiefe, Verweildauer (berechnet aus den Zeitpunkten der Seitenaufrufe), Ladezeit-Messwerte und technische Fehler der Seite (Fehlerart, gekürzte Meldung, Datei, Zeile und Spalte – ohne Adress-Parameter und ohne Eingaben)
IP-Adresse: Wird nicht gespeichert. Sie dient nur dazu, Land und Netzbetreiber abzuleiten und den Hash für die Wiedererkennung eines Besuchs zu bilden; zur Abwehr automatisierter Zugriffe hält der Server sie bis zu 24 Stunden im Arbeitsspeicher.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Reichweitenmessung und Verbesserung unseres Angebots
Empfänger: Keine weiteren; technisch beteiligt ist Hetzner als Betreiber des Servers (siehe oben)
Drittland: Keine Übermittlung
Speicherdauer: Die Rohdaten löscht ein automatischer Lauf spätestens nach 12 Monaten; tägliche Sicherungskopien auf demselben Server nach 14 Tagen. Als automatisiert erkannte Aufrufe zählen nicht mit und werden getrennt bis zu drei Monate protokolliert.

Um ein Abschalten der Messung zu beachten, liest unser Statistik-Code in Ihrem Browser nur den Eintrag umami.disabled im lokalen Speicher (localStorage); ist er gesetzt, wird nichts gesendet. Der Code schreibt dort nichts. Der Name des Eintrags stammt aus der Zeit mit Umami und gilt weiter.

Bis zum 23. Oktober 2026 zählten wir zusätzlich mit Umami (selbst gehostet); dessen Rohdaten haben wir am 24. Oktober 2026 gelöscht.

Sie können der Reichweitenmessung jederzeit widersprechen, indem Sie in Ihrem Browser „Global Privacy Control“ aktivieren oder uns eine E-Mail schreiben.

Schriften, Bilder und Videos

Schriftarten, Bilder und Videos liefern wir von unserem eigenen Server aus. Die Schriftarten sind lokal eingebunden; beim Aufruf entsteht keine Verbindung zu Google Fonts oder anderen Schriftanbietern. Videos spielen wir ohne Einbettungsdienste wie YouTube ab.

Die Ladezeit-Anzeige am Seitenende wird allein in Ihrem Browser berechnet und nicht übertragen.

Helles oder dunkles Design

Ohne eigene Wahl richtet sich die Website nach der Einstellung Ihres Geräts (hell oder dunkel); dabei wird nichts gespeichert. Wählen Sie über den Umschalter ausdrücklich „Hell“ oder „Dunkel“, legt Ihr Browser diese Wahl im lokalen Speicher ab (localStorage, Eintrag headon-thema mit dem Wert „hell“ oder „dunkel“), damit sie beim nächsten Seitenaufruf gilt.

Zweck: Die von Ihnen gewählte Darstellung beibehalten
Daten: Nur der Wert „hell“ oder „dunkel“ – kein Personenbezug, keine Kennung
Speicherort: Ausschließlich Ihr Browser; der Wert wird nicht an uns oder Dritte übertragen
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – unbedingt erforderlich für die von Ihnen gewünschte Einstellung
Speicherdauer: Bis Sie „System“ wählen (der Eintrag wird dann gelöscht) oder die Websitedaten in Ihrem Browser löschen

Live-Ausschnitte unserer Produkte

Auf der Seite „Produkte“ und an einzelnen Stellen unserer übrigen deutschen Seiten zeigen wir Live-Ausschnitte unserer eigenen Produkte – zum Beispiel das Wetter aus der Wetterzeile oder die Sonntagsfrage aus der Wahllage –, gekennzeichnet mit „Zu Gast · aus unserem Haus“. Die Daten dafür holt unser Server bei der jeweiligen eigenen Seite; Ihr Browser ruft dafür keine andere Domain auf. Mitgegeben wird nur ein fester Ort – unser Sitz Lauda-Königshofen als Beispiel oder der Ort, von dem eine Regionen-Seite handelt – oder ein Bundesland, nichts über Sie und nie ein Standort Ihres Geräts. Schriften und Gestaltung der Ausschnitte liefern wir von unserem eigenen Server aus.

Was Sie in einen Mini-Rechner eingeben oder bei den Beispielfragen antippen, bleibt in Ihrem Browser und wird nicht an uns übertragen. Öffnen Sie aus einem Mini-Rechner den vollständigen Rechner, reicht Ihr Browser die Eingaben im Teil der Adresse hinter dem „#“ weiter; dieser Teil wird nicht an einen Server gesendet.

Einen Teil der Ausschnitte lädt Ihr Browser nach dem Seitenaufruf bei headon.pro nach: auf der Seite „Produkte“ die Tagesfrage der Nachtausgabe und die Tankregel der Tankzeile, damit sie zum Zeitpunkt Ihres Besuchs stimmen, auf den übrigen Seiten jeden Ausschnitt. Mitgegeben wird dabei höchstens, welcher Ort unserer Regionen-Seiten gemeint ist – nichts über Sie. Wie oft ein Ausschnitt gesehen und angeklickt wird, zählen wir anonym über Rybbit (siehe „Reichweitenmessung mit Rybbit“) – ohne Ihre Eingaben.

Gewähltes Bundesland

Wählen Sie im Ausschnitt der Jahreszeile ein anderes Bundesland, merkt sich Ihr Browser die Wahl im lokalen Speicher (localStorage, Eintrag gast:land mit dem Kürzel des Landes, zum Beispiel „BY“), damit sie beim nächsten Besuch gilt. Übertragen wird die Wahl nicht: Ihr Browser holt dafür bei headon.pro die Ferien und Brückentage aller Bundesländer auf einmal und zeigt Ihr Land erst bei Ihnen.

Zweck: Das von Ihnen gewählte Bundesland beibehalten
Daten: Nur das Kürzel des Bundeslands – keine Kennung
Speicherort: Nur Ihr Browser; das Kürzel wird nicht an unseren Server übertragen
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – unbedingt erforderlich für die von Ihnen gewünschte Einstellung
Speicherdauer: Bis Sie die Websitedaten in Ihrem Browser löschen

Labor: Stücke zum Ausprobieren

Die Stücke im Labor rechnen in Ihrem Browser. Was Sie dort einstellen – Ort, Datum, Zeitpunkt, Widmung –, wird nicht gespeichert; es steht nur dann im Link hinter dem #-Zeichen, wenn Sie ihn kopieren und weitergeben. Dieser Teil der Adresse wird beim Seitenaufruf nicht an unseren Server übertragen.

Im Stück „Urort“ fragt der Knopf „Mein Standort“ Ihren Browser nach Ihrem Standort. Ihr Browser bittet Sie vorher um Erlaubnis. Der Standort wird nur auf Ihrem Gerät verwendet, auf rund einen Kilometer gerundet und nicht an uns oder Dritte übertragen.

Daten, die ein Stück nachlädt, holt unser Server: im „Stromatem“ die jüngsten Strommarktdaten bei der Bundesnetzagentur (SMARD), im „Geburtstagswetter“ die Messwerte einer Wetterstation aus unserem Speicher bei Supabase.

Im „Geburtstagswetter“ erhält unser Server von Ihrem Browser nur die gewählte Station und den Kalendertag (Tag und Monat) – und wie bei jedem Abruf Ihre IP-Adresse, die wir dabei nicht speichern. Supabase erhält nur die Anfrage unseres Servers nach der Datei dieser Station, nichts von Ihrem Browser. Das Jahr und der Ort, den Sie eingeben, verlassen Ihr Gerät nicht.

Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Unser E-Mail-Postfach betreibt Google (Google Workspace) in unserem Auftrag.

Zweck: Bearbeitung Ihrer Anfrage und Kommunikation mit Ihnen
Daten: Name, Kontaktdaten, Inhalt und Zeitpunkt Ihrer Nachricht
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag zielt; sonst Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Beantwortung von Anfragen
Empfänger: Google (Google Workspace) als Auftragsverarbeiter
Drittland: Eine Verarbeitung durch Google LLC in den USA ist möglich. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).
Speicherdauer: Bis Ihr Anliegen abschließend bearbeitet ist. Gesetzliche Aufbewahrungspflichten, insbesondere nach Handels- und Steuerrecht, bleiben unberührt.

Kontaktformular und Anfragen

Über das Kontaktformular können Sie uns eine Projektanfrage senden. Genauso verarbeiten wir Anfragen, die über den KI-Assistenten oder die kostenlosen Website-Checks entstehen (siehe unten).

Zweck: Bearbeitung Ihrer Anfrage, Erstellung eines Angebots
Daten: Name, E-Mail-Adresse, Firma (freiwillig), Thema und Nachricht; bei Anfragen über den KI-Assistenten gegebenenfalls auch Projektart, Budget und Zeitrahmen, über den Kostenrechner Ihre Angaben dort (siehe unten); Zeitpunkt und Herkunft der Anfrage
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage; Art. 6 Abs. 1 lit. f DSGVO für die interne Organisation
Empfänger: Supabase (Speicherung), Resend (E-Mail-Benachrichtigung an uns und Eingangsbestätigung an Sie), Google Workspace (unser Postfach) – Einzelheiten unten
Speicherdauer: Automatische Löschung nach einem Jahr (täglicher Löschlauf), auf Wunsch früher. Entsteht ein Auftrag, gelten die gesetzlichen Aufbewahrungsfristen.

Priorisierung

Aus Ihren Angaben zu Projektart, Budget und Zeitrahmen berechnen wir eine interne Kennzahl, die nur die Reihenfolge der Bearbeitung bestimmt. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt; jede Anfrage liest ein Mensch.

Speicherung bei Supabase

Anfragen speichern wir in einer Datenbank des Anbieters Supabase im Rechenzentrum Frankfurt am Main. Unser Vertragspartner und Auftragsverarbeiter ist die Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Weil Supabase seinen Sitz in Singapur hat, gelten für die Verarbeitung die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); die Daten selbst liegen in Frankfurt am Main.

Benachrichtigung per E-Mail (Resend)

Über den Versanddienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) erhalten wir Ihre Anfrage zusätzlich als E-Mail. Resend ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO) und bewahrt Versanddaten 30 Tage auf.

Zugleich senden wir Ihnen über Resend eine Eingangsbestätigung an die angegebene Adresse. Sie enthält nur das gewählte Thema, die Antwortfrist und den nächsten Schritt, nicht Ihre Nachricht.

Kurzhinweis per Telegram

Damit wir schnell reagieren können, erhalten wir bei jeder neuen Anfrage einen Kurzhinweis in unserem Telegram-Chat. Er enthält nur, dass eine Anfrage eingegangen ist und über welchen Weg (etwa Kontaktformular), aber keine personenbezogenen Daten. Die Anfrage selbst lesen wir im Postfach und in unserer Datenbank.

KI-Assistent „Frag headon“

Über „Frag headon“ im Seitenkopf oder das Tastenkürzel ⌘K bzw. Strg+K können Sie Fragen zu unserem Angebot stellen.

Sie sprechen dabei mit einem KI-System, nicht mit einem Menschen. Die Antworten erzeugt das Sprachmodell Claude von Anthropic automatisch. Sie können Fehler enthalten und sind unverbindlich; verbindlich sind nur unsere Angebote (Hinweis nach Art. 50 Abs. 1 der KI-Verordnung (EU) 2024/1689).

Bitte geben Sie keine sensiblen Daten ein – etwa Angaben zur Gesundheit, Zugangsdaten, Bankdaten, Geschäftsgeheimnisse oder personenbezogene Daten Dritter.

Der Gesprächsverlauf liegt nur in Ihrem geöffneten Browserfenster und ist nach dem Neuladen verschwunden. Für jede Antwort sendet unser Server den bisherigen Verlauf an Anthropic; wir selbst speichern das Gespräch nicht. Nennen Sie im Gespräch Ihren Namen, Ihre E-Mail-Adresse und Ihr Anliegen, legt der Assistent daraus eine Anfrage an (Name, E-Mail, kurze Beschreibung, gegebenenfalls Projektart, Budget und Zeitrahmen). Diese Anfrage behandeln wir wie eine Anfrage über das Kontaktformular.

Zweck: Beantwortung von Fragen zu unserem Angebot, auf Wunsch Anlegen einer Anfrage
Daten: Ihre Nachrichten und der Verlauf des laufenden Gesprächs
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse, Fragen schnell zu beantworten; Art. 6 Abs. 1 lit. b DSGVO, sobald Sie über den Assistenten eine Anfrage stellen
Empfänger: Anthropic Ireland, Limited, Dublin, Irland, als Auftragsverarbeiter; die Verarbeitung erfolgt auch durch Anthropic, PBC in den USA. Anthropic verwendet Inhalte aus der API nach eigenen Angaben nicht zum Training seiner Modelle.
Drittland: USA, auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Speicherdauer: Wir speichern den Chatverlauf nicht. Anthropic löscht Ein- und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen; bei Verdacht auf Verstöße gegen seine Nutzungsrichtlinien kann Anthropic sie länger aufbewahren.

Sie müssen den Assistenten nicht nutzen: Per E-Mail oder über das Kontaktformular erreichen Sie uns genauso.

Kostenrechner

Auf den Ratgeber-Seiten können Sie mit dem Kostenrechner eine Kostenschätzung erstellen und sich per E-Mail zusenden lassen. Die Statistik (siehe „Reichweitenmessung mit Rybbit“) erfasst dabei nur, welcher Schritt erreicht wurde, welche Projektart gewählt ist und dass eine Anfrage abgeschickt wurde – keine Preise, keine Kontaktdaten, keine weiteren Angaben.

Zweck: Erstellung und Zusendung der Kostenschätzung, Bearbeitung Ihrer Anfrage
Daten: Name und E-Mail-Adresse, Firma und Nachricht (freiwillig); Ihre Angaben im Kostenrechner: das Vorhaben, die gewählten Anforderungen (etwa eigenes Design, Redaktionssystem, Login, Schnittstellen, mehrere Sprachen, Barrierefreiheit) und den gewünschten Start; die berechnete Spanne und eine interne Kennzahl zur Priorisierung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage
Empfänger: Supabase (Speicherung), Resend (Versand der Schätzung an Sie und der Benachrichtigung an uns), Google Workspace (unser Postfach) – siehe oben
Speicherdauer: Automatische Löschung nach einem Jahr, auf Wunsch früher

Kostenlose Website-Checks

Für den KI-Sichtbarkeits-Check geben Sie die Adresse Ihrer Website, Ihre E-Mail-Adresse und freiwillig Ihren Namen und Ihre Branche an. Daraus entsteht eine Anfrage wie über das Kontaktformular, mit Eingangsbestätigung an Ihre Adresse; die Auswertung schicken wir Ihnen per E-Mail.

Beim Barrierefreiheits-Check ruft unser Server den öffentlichen Quelltext der angegebenen Adresse ab und wertet ihn automatisch aus; das Ergebnis sehen Sie sofort. Gespeichert wird nur, wenn Sie freiwillig Ihre E-Mail-Adresse angeben – dann legen wir eine Anfrage mit Adresse und Ergebnis an.

Zweck: Durchführung und Zusendung der Analyse, gegebenenfalls Rückfragen
Daten: Website-Adresse, E-Mail-Adresse, Name und Branche (freiwillig), Analyseergebnis
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage
Empfänger: Wie beim Kontaktformular (Supabase, Resend, Google Workspace)
Speicherdauer: Automatische Löschung nach einem Jahr, auf Wunsch früher

KI-Pass: KI-Check und Richtlinien-Generator

Der KI-Check im KI-Pass wertet Ihre Antworten direkt in Ihrem Browser aus. Solange Sie keinen Bericht anfordern, erhalten wir Ihre Antworten nicht; damit Sie beim Neuladen nicht von vorn beginnen, liegen sie ab Ihrer ersten Antwort bis zum Schließen des Tabs im Sitzungsspeicher Ihres Browsers (sessionStorage; technisch erforderlich für den von Ihnen genutzten Dienst, § 25 Abs. 2 Nr. 2 TDDDG); „Neu beginnen“ leert ihn. Die Statistik erfasst im KI-Pass nur: dass ein Check begonnen oder beendet wurde (mit Reifegrad und Größenklasse), dass ein Bericht angefordert wurde (ob der Versand geklappt hat und ob eine Rückmeldung gewünscht ist), dass eine Richtlinie heruntergeladen wurde (Word oder PDF) und dass ein Verweis auf eine Beratungsleistung angeklickt wurde (welche Leistung) – keine Antworten, keinen Richtlinientext, keine E-Mail-Adresse, keinen Namen.

Fordern Sie den PDF-Bericht an, senden Sie uns Ihre E-Mail-Adresse, freiwillig Namen und Unternehmen, Ihre Antworten und ob Sie eine Rückmeldung wegen eines Erstgesprächs wünschen. Unser Server erstellt daraus den Bericht, schickt ihn per E-Mail an Sie und legt eine Anfrage an – wie über das Kontaktformular, mit Ihrem Ergebnis, Firmengröße, Branche und genutzten KI-Werkzeugen. Einen Newsletter senden wir nicht.

Beim Richtlinien-Generator entsteht der Text in Ihrem Browser. Für den Download als Word oder PDF schickt Ihr Browser den Text an unseren Server, der daraus die Datei erzeugt und sofort zurückgibt. Der Text wird dabei nicht gespeichert und nicht mit anderen Daten verknüpft.

Zweck: Erstellung und Zusendung des Berichts, Bearbeitung Ihrer Anfrage und auf Wunsch Kontaktaufnahme wegen eines Erstgesprächs; Erzeugung der Richtlinien-Datei
Daten: Bericht: E-Mail-Adresse, Name und Unternehmen (freiwillig), Ihre Antworten im Check, das Ergebnis, Ihr Rückmeldewunsch, Zeitpunkt. Richtlinie: der Text, den Sie herunterladen
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Zusendung des angeforderten Berichts und vorvertragliche Maßnahmen auf Ihre Anfrage; Art. 6 Abs. 1 lit. f DSGVO für die interne Organisation und die Erzeugung der Richtlinien-Datei
Empfänger: Supabase (Speicherung der Anfrage), Resend (Versand des Berichts an Sie und der Benachrichtigung an uns), Google Workspace (unser Postfach) – siehe oben. Die Richtlinien-Datei erzeugt unser eigener Server bei Hetzner.
Speicherdauer: Anfrage: automatische Löschung nach einem Jahr, auf Wunsch früher. Richtlinie: keine Speicherung. Antworten im Browser: bis Sie den Tab schließen.

KI-Pass Team

In der Team-Version des KI-Pass legt eine Firma ein Konto an und lädt Beschäftigte per Link oder QR-Code ein. Die Anmeldung läuft ohne Passwort: Sie erhalten einen Anmeldelink per E-Mail über den Anmeldedienst von Supabase, versandt über Resend. Nach der Anmeldung speichert Ihr Browser ein technisch notwendiges Anmelde-Cookie (§ 25 Abs. 2 Nr. 2 TDDDG): sb-…-auth-token (bei langen Sitzungsdaten in Teile mit angehängtem .0, .1 geteilt) mit Ihrer Sitzung. Es gilt bis zur Abmeldung, höchstens 400 Tage.

Für die Daten der Beschäftigten ist die jeweilige Firma verantwortlich; wir verarbeiten sie in ihrem Auftrag (Art. 28 DSGVO). Jede Firma sieht nur ihre eigenen Daten. Die öffentliche Prüfseite eines Nachweises zeigt Firmenname, Datum, Zeitraum, Anzahl der Maßnahmen und Personen sowie die Prüfsumme – keine Namen.

Zweck: Bereitstellung der Team-Version: Anmeldung, Schulungen, Bestätigung der Richtlinie, KI-Tool-Register, Nachweise der KI-Kompetenzmaßnahmen
Daten: Anmeldekonto: E-Mail-Adresse und Anmeldezeitpunkte. Im Team: Name, E-Mail-Adresse, Rolle, Beitrittsdatum; abgeschlossene Schulungseinheiten mit Datum, Dauer, Themen und Ergebnis; Bestätigungen der Richtlinie mit Zeitstempel; Einträge im Tool-Register mit meldender Person; Nachweise und Prüfmappen mit Namen der Teilnehmenden (ohne Ergebnis); Name der Person, die den AV-Vertrag abschließt. Bei Admins außerdem: erstellte Einladungen (der Link nur als Hash), veröffentlichte Richtlinien, bei bezahlten Stufen Abo-Stufe und Kennungen des Zahlungsanbieters
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Vertrag mit der Firma bzw. Nutzung auf deren Einladung; für Beschäftigtendaten Verarbeitung im Auftrag der Firma (Art. 28 DSGVO)
Empfänger: Supabase (Datenbank und Anmeldung, Frankfurt am Main), Hetzner (Server), Resend (Anmelde-E-Mail) – siehe oben; die Firma, der Sie angehören. Bei bezahlten Stufen Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich, als Wiederverkäufer (Merchant of Record) und eigener Verantwortlicher für die Zahlungsdaten (Angemessenheitsbeschluss, Art. 45 DSGVO)
Speicherdauer: Solange die Firma den KI-Pass nutzt. Entfernt eine Admin-Person Sie aus dem Team, endet Ihr Zugang; Ihre Abschlüsse, Bestätigungen und erstellte Nachweise bleiben für den Nachweis der Firma gespeichert. Löscht eine Admin-Person die Firma, werden alle Daten der Firma sofort gelöscht. Ihr Anmeldekonto (E-Mail-Adresse) löschen wir auf Anfrage.

Dienstleister im Überblick

Diese Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag oder erhalten sie von uns:

Dienstleister	Aufgabe	Drittland
Hetzner Online GmbH	Server	Keine (Deutschland)
Supabase Pte. Ltd. (Singapur)	Datenbank und Anmeldung (Speicherort Frankfurt am Main)	Singapur – Standardvertragsklauseln
Plus Five Five, Inc. (Resend)	E-Mail-Versand	USA – Data Privacy Framework
Google (Google Workspace)	E-Mail-Postfach	USA – Data Privacy Framework
Anthropic	KI-Assistent	USA – Standardvertragsklauseln
Paddle.com Market Limited	Zahlung KI-Pass Team (eigener Verantwortlicher)	Vereinigtes Königreich – Angemessenheitsbeschluss

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die als Pflichtangaben gekennzeichneten Felder können wir eine Anfrage jedoch nicht bearbeiten.

Kundenprojekte

Daten, die wir in Kundenprojekten – etwa in KI-Sprints oder Geodaten-Auswertungen – im Auftrag unserer Kunden verarbeiten, sind nicht Gegenstand dieser Erklärung; dafür schließen wir mit dem jeweiligen Kunden einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Ihre Rechte

Sie haben gegenüber uns das Recht auf

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht: Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, können Sie ihr aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.

Eine formlose Nachricht an hallo@headon.pro genügt.

Beschwerde bei der Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35, 70191 Stuttgart
Postanschrift: Postfach 10 29 32, 70025 Stuttgart
Telefon: 0711 615541-0 · E-Mail: poststelle@lfdi.bwl.de
www.baden-wuerttemberg.datenschutz.de

Änderungen

Wir passen diese Erklärung an, wenn sich unser Angebot oder die eingesetzten Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.