§Rechtliches

Datenschutzerklärung

Welche Daten diese Website verarbeitet, wozu, auf welcher Rechtsgrundlage, wer daran beteiligt ist und wie lange wir sie speichern.

Stand: 8. Oktober 2026

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

headon
Inhaber: Onur Cirakoglu
Am Vogelsberg 8
97922 Lauda-Königshofen
Deutschland

E-Mail: hallo@headon.pro
Telefon: +49 176 63040241

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter diesen Kontaktdaten.

Das Wichtigste in Kürze

Wir setzen keine Cookies zu Analyse- oder Werbezwecken. In Ihrem Browser speichern wir nur, was Sie selbst auslösen: Ihre Wahl zwischen hellem und dunklem Design, ein in den Live-Ausschnitten unserer Produkte gewähltes Bundesland, den Zwischenstand des KI-Checks ab Ihrer ersten Antwort, solange der Tab geöffnet ist, und das Anmelde-Cookie der Team-Version des KI-Pass.
Die Reichweitenmessung läuft mit Umami auf unserem eigenen Server – ohne Cookies und ohne Wiedererkennung über andere Websites hinweg. Parallel dazu testen wir Rybbit, ein zweites Statistik-Werkzeug auf demselben Server – ebenfalls ohne Cookies.
Unser Server steht in Nürnberg, unsere Datenbank in Frankfurt am Main. Die Website und die Statistik werden direkt von diesem Server ausgeliefert, ohne zwischengeschalteten Dienst.
Anfragen löschen wir automatisch nach einem Jahr.
Der KI-Assistent „Frag headon“ nutzt das Sprachmodell Claude von Anthropic. Was Sie dort eingeben, wird dafür an Anthropic übermittelt.

Hosting und Auslieferung

Server

Die Website und unsere Statistik-Instanz laufen auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg. Hetzner verarbeitet die Daten in unserem Auftrag. Die Übertragung zwischen Ihrem Browser und der Website ist per TLS verschlüsselt.

Zweck: Bereitstellung der Website, Betrieb und Sicherheit
Daten: Alle Daten, die bei der Nutzung anfallen: IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browser- und Geräteangaben, Formulareingaben
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb
Empfänger: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, als Auftragsverarbeiter (Art. 28 DSGVO)
Drittland: Keine Übermittlung

Protokolle

Unser Webserver schreibt für diese Website keine Zugriffsprotokolle. Die Anwendung protokolliert technische Fehlermeldungen, damit wir Störungen beheben können; IP-Adressen werden dabei nicht erfasst.

Speicherdauer: Die Fehlerprotokolle werden fortlaufend überschrieben, sobald sie 15 MB erreichen (drei Dateien zu je 5 MB), und bei jeder Aktualisierung der Website vollständig gelöscht.

Schutz vor Missbrauch

Um Formulare und den KI-Assistenten vor automatisiertem Missbrauch zu schützen, zählen wir Anfragen je IP-Adresse – höchstens fünf Formularanfragen, 20 Chat-Nachrichten und 30 Downloads aus dem Richtlinien-Generator pro Stunde. Die IP-Adresse liegt dafür nur im Arbeitsspeicher des Servers, wird nicht mit anderen Daten verknüpft und nach Ablauf des Zeitfensters von 60 Minuten automatisch gelöscht. Formulare enthalten außerdem ein für Menschen unsichtbares Feld, an dem wir automatisierte Eingaben erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, die Dienste verfügbar zu halten und Missbrauch abzuwehren.

Reichweitenmessung mit Umami

Um zu verstehen, welche Inhalte genutzt werden und wo die Website hakt, verwenden wir die Open-Source-Software Umami. Wir betreiben sie selbst auf unserem Server bei Hetzner (analytics.headon.pro); die Daten gehen an keinen weiteren Anbieter.

Umami setzt keine Cookies, speichert nichts in Ihrem Browser und erkennt Sie nicht über andere Websites hinweg wieder. Das Statistik-Skript laden wir erst, wenn Sie mindestens drei Sekunden auf der Seite sind und mit ihr interagiert haben. Sendet Ihr Browser das Signal „Global Privacy Control“, laden wir es gar nicht. Auf den Einladungsseiten und den Prüfseiten für Nachweise des KI-Pass Team läuft keine Statistik, weil deren Adresse einen Einladungscode oder eine Nachweis-Kennung enthält.

Zweck: Statistische Auswertung der Nutzung, Verbesserung von Inhalten und Technik
Daten: Aufgerufene Seiten, Verweisquelle, Browser, Betriebssystem, Gerätetyp, das Land (aus der IP-Adresse abgeleitet; Region, Stadt, Bildschirmgröße und Sprache erfassen wir nicht), Tageszeit und Wochentag des Besuchs, Klicks auf Schaltflächen und externe Links (nur Domain und Pfad), Ansicht und Klick der Live-Ausschnitte unserer Produkte (nur welcher Ausschnitt), Scrolltiefe, Verweildauer (berechnet aus den Zeitpunkten der Seitenaufrufe), Ladezeit-Messwerte und die Art technischer Fehler (zum Beispiel „TypeError“, ohne Fehlertext)
IP-Adresse: Wird nur kurz verarbeitet, um den ungefähren Standort und eine pseudonyme, regelmäßig wechselnde Sitzungskennung zu berechnen, und nicht gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Reichweitenmessung und Verbesserung unseres Angebots
Empfänger: Keine weiteren; technisch beteiligt ist Hetzner als Betreiber des Servers (siehe oben)
Speicherdauer: 12 Monate; ältere Statistikdaten löscht ein monatlicher automatischer Lauf.

Parallel dazu testen wir Rybbit, ein zweites, ebenfalls selbst gehostetes Statistik-Werkzeug (rybbit.headon.pro, auf demselben Server); auch diese Daten gehen an keinen weiteren Anbieter. Rybbit erhält dieselben Angaben wie Umami und zusätzlich den Netzbetreiber, der sich aus der IP-Adresse ergibt (zum Beispiel Ihr Internetanbieter). Nur an Rybbit geht außerdem, welcher Link zu einer fremden Website angeklickt wurde (nur deren Adresse, ohne Parameter), und wenn auf der Seite ein technischer Fehler auftritt: Fehlerart, gekürzte Meldung, Datei und Zeile – ohne Adress-Parameter und ohne Eingaben. Rybbits eigenes Skript laden wir nicht; unsere Seiten senden die Angaben selbst – ohne Cookies und ohne etwas in Ihrem Browser zu speichern. Gezählt wird erst, wenn Sie die Maus bewegen, die Seite antippen oder eine Taste drücken oder die Seite drei Sekunden sichtbar ist. Einen Besuch erkennt Rybbit über einen Hash aus IP-Adresse, Browserkennung und einem täglich wechselnden Zufallswert wieder. Die IP-Adresse selbst wird nicht gespeichert; zur Abwehr automatisierter Zugriffe hält der Server sie bis zu 24 Stunden im Arbeitsspeicher. Als automatisiert erkannte Aufrufe zählen nicht mit und werden getrennt bis zu drei Monate protokolliert. Die Rohdaten löschen wir auch hier spätestens nach 12 Monaten. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. f DSGVO. Sendet Ihr Browser das Signal „Global Privacy Control“, wird auch an Rybbit nichts gesendet; auf den Einladungsseiten und den Prüfseiten des KI-Pass Team läuft auch Rybbit nicht.

Sie können der Reichweitenmessung jederzeit widersprechen, indem Sie in Ihrem Browser „Global Privacy Control“ aktivieren oder uns eine E-Mail schreiben.

Schriften, Bilder und Videos

Schriftarten, Bilder und Videos liefern wir von unserem eigenen Server aus. Die Schriftarten sind lokal eingebunden; beim Aufruf entsteht keine Verbindung zu Google Fonts oder anderen Schriftanbietern. Videos spielen wir ohne Einbettungsdienste wie YouTube ab.

Die Ladezeit-Anzeige am Seitenende wird allein in Ihrem Browser berechnet und nicht übertragen.

Helles oder dunkles Design

Ohne eigene Wahl richtet sich die Website nach der Einstellung Ihres Geräts (hell oder dunkel); dabei wird nichts gespeichert. Wählen Sie über den Umschalter ausdrücklich „Hell“ oder „Dunkel“, legt Ihr Browser diese Wahl im lokalen Speicher ab (localStorage, Eintrag headon-thema mit dem Wert „hell“ oder „dunkel“), damit sie beim nächsten Seitenaufruf gilt.

Zweck: Die von Ihnen gewählte Darstellung beibehalten
Daten: Nur der Wert „hell“ oder „dunkel“ – kein Personenbezug, keine Kennung
Speicherort: Ausschließlich Ihr Browser; der Wert wird nicht an uns oder Dritte übertragen
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – unbedingt erforderlich für die von Ihnen gewünschte Einstellung
Speicherdauer: Bis Sie „System“ wählen (der Eintrag wird dann gelöscht) oder die Websitedaten in Ihrem Browser löschen

Live-Ausschnitte unserer Produkte

Auf der Seite „Produkte“ und an einzelnen Stellen unserer übrigen deutschen Seiten zeigen wir Live-Ausschnitte unserer eigenen Produkte – zum Beispiel das Wetter aus der Wetterzeile oder die Sonntagsfrage aus der Wahllage –, gekennzeichnet mit „Zu Gast · aus unserem Haus“. Die Daten dafür holt unser Server bei der jeweiligen eigenen Seite; Ihr Browser ruft dafür keine andere Domain auf. Mitgegeben wird nur ein fester Ort – unser Sitz Lauda-Königshofen als Beispiel oder der Ort, von dem eine Regionen-Seite handelt – oder ein Bundesland, nichts über Sie und nie ein Standort Ihres Geräts. Schriften und Gestaltung der Ausschnitte liefern wir von unserem eigenen Server aus.

Was Sie in einen Mini-Rechner eingeben oder bei den Beispielfragen antippen, bleibt in Ihrem Browser und wird nicht an uns übertragen. Öffnen Sie aus einem Mini-Rechner den vollständigen Rechner, reicht Ihr Browser die Eingaben im Teil der Adresse hinter dem „#“ weiter; dieser Teil wird nicht an einen Server gesendet.

Einen Teil der Ausschnitte lädt Ihr Browser nach dem Seitenaufruf bei headon.pro nach: auf der Seite „Produkte“ die Tagesfrage der Nachtausgabe und die Tankregel der Tankzeile, damit sie zum Zeitpunkt Ihres Besuchs stimmen, auf den übrigen Seiten jeden Ausschnitt. Mitgegeben wird dabei höchstens, welcher Ort unserer Regionen-Seiten gemeint ist – nichts über Sie. Wie oft ein Ausschnitt gesehen und angeklickt wird, zählen wir anonym über Umami und Rybbit (siehe „Reichweitenmessung mit Umami“) – ohne Ihre Eingaben.

Gewähltes Bundesland

Wählen Sie im Ausschnitt der Jahreszeile ein anderes Bundesland, merkt sich Ihr Browser die Wahl im lokalen Speicher (localStorage, Eintrag gast:land mit dem Kürzel des Landes, zum Beispiel „BY“), damit sie beim nächsten Besuch gilt. Übertragen wird die Wahl nicht: Ihr Browser holt dafür bei headon.pro die Ferien und Brückentage aller Bundesländer auf einmal und zeigt Ihr Land erst bei Ihnen.

Zweck: Das von Ihnen gewählte Bundesland beibehalten
Daten: Nur das Kürzel des Bundeslands – keine Kennung
Speicherort: Nur Ihr Browser; das Kürzel wird nicht an unseren Server übertragen
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG – unbedingt erforderlich für die von Ihnen gewünschte Einstellung
Speicherdauer: Bis Sie die Websitedaten in Ihrem Browser löschen

Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Unser E-Mail-Postfach betreibt Google (Google Workspace) in unserem Auftrag.

Zweck: Bearbeitung Ihrer Anfrage und Kommunikation mit Ihnen
Daten: Name, Kontaktdaten, Inhalt und Zeitpunkt Ihrer Nachricht
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag zielt; sonst Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Beantwortung von Anfragen
Empfänger: Google (Google Workspace) als Auftragsverarbeiter
Drittland: Eine Verarbeitung durch Google LLC in den USA ist möglich. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).
Speicherdauer: Bis Ihr Anliegen abschließend bearbeitet ist. Gesetzliche Aufbewahrungspflichten, insbesondere nach Handels- und Steuerrecht, bleiben unberührt.

Kontaktformular und Anfragen

Über das Kontaktformular können Sie uns eine Projektanfrage senden. Genauso verarbeiten wir Anfragen, die über den KI-Assistenten oder die kostenlosen Website-Checks entstehen (siehe unten).

Zweck: Bearbeitung Ihrer Anfrage, Erstellung eines Angebots
Daten: Name, E-Mail-Adresse, Firma (freiwillig), Thema und Nachricht; bei Anfragen über den KI-Assistenten oder den Kalkulator gegebenenfalls auch Telefonnummer, Projektart, Budget und Zeitrahmen; Zeitpunkt und Herkunft der Anfrage
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage; Art. 6 Abs. 1 lit. f DSGVO für die interne Organisation
Empfänger: Supabase (Speicherung), Resend (E-Mail-Benachrichtigung an uns und Eingangsbestätigung an Sie), Google Workspace (unser Postfach) – Einzelheiten unten
Speicherdauer: Automatische Löschung nach einem Jahr (täglicher Löschlauf), auf Wunsch früher. Entsteht ein Auftrag, gelten die gesetzlichen Aufbewahrungsfristen.

Priorisierung

Aus Ihren Angaben zu Projektart, Budget und Zeitrahmen berechnen wir eine interne Kennzahl, die nur die Reihenfolge der Bearbeitung bestimmt. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt; jede Anfrage liest ein Mensch.

Speicherung bei Supabase

Anfragen speichern wir in einer Datenbank des Anbieters Supabase im Rechenzentrum Frankfurt am Main. Supabase verarbeitet die Daten als Auftragsverarbeiter. Greift Supabase im Einzelfall, etwa für den Support, von außerhalb der EU zu, geschieht das auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Benachrichtigung per E-Mail (Resend)

Über den Versanddienst Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) erhalten wir Ihre Anfrage zusätzlich als E-Mail. Resend ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO) und bewahrt Versanddaten 30 Tage auf.

Zugleich senden wir Ihnen über Resend eine Eingangsbestätigung an die angegebene Adresse. Sie enthält nur das gewählte Thema, die Antwortfrist und den nächsten Schritt, nicht Ihre Nachricht.

Kurzhinweis per Telegram

Damit wir schnell reagieren können, erhalten wir bei jeder neuen Anfrage einen Kurzhinweis in unserem Telegram-Chat. Er enthält nur, dass eine Anfrage eingegangen ist und über welchen Weg (etwa Kontaktformular), aber keine personenbezogenen Daten. Die Anfrage selbst lesen wir im Postfach und in unserer Datenbank.

KI-Assistent „Frag headon“

Über „Frag headon“ im Seitenkopf oder das Tastenkürzel ⌘K bzw. Strg+K können Sie Fragen zu unserem Angebot stellen.

Sie sprechen dabei mit einem KI-System, nicht mit einem Menschen. Die Antworten erzeugt das Sprachmodell Claude von Anthropic automatisch. Sie können Fehler enthalten und sind unverbindlich; verbindlich sind nur unsere Angebote (Hinweis nach Art. 50 Abs. 1 der KI-Verordnung (EU) 2024/1689).

Bitte geben Sie keine sensiblen Daten ein – etwa Angaben zur Gesundheit, Zugangsdaten, Bankdaten, Geschäftsgeheimnisse oder personenbezogene Daten Dritter.

Der Gesprächsverlauf liegt nur in Ihrem geöffneten Browserfenster und ist nach dem Neuladen verschwunden. Für jede Antwort sendet unser Server den bisherigen Verlauf an Anthropic; wir selbst speichern das Gespräch nicht. Nennen Sie im Gespräch Ihren Namen, Ihre E-Mail-Adresse und Ihr Anliegen, legt der Assistent daraus eine Anfrage an (Name, E-Mail, kurze Beschreibung, gegebenenfalls Projektart, Budget und Zeitrahmen). Diese Anfrage behandeln wir wie eine Anfrage über das Kontaktformular.

Zweck: Beantwortung von Fragen zu unserem Angebot, auf Wunsch Anlegen einer Anfrage
Daten: Ihre Nachrichten und der Verlauf des laufenden Gesprächs
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse, Fragen schnell zu beantworten; Art. 6 Abs. 1 lit. b DSGVO, sobald Sie über den Assistenten eine Anfrage stellen
Empfänger: Anthropic Ireland, Limited, Dublin, Irland, als Auftragsverarbeiter; die Verarbeitung erfolgt auch durch Anthropic, PBC in den USA. Anthropic verwendet Inhalte aus der API nach eigenen Angaben nicht zum Training seiner Modelle.
Drittland: USA, auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Speicherdauer: Wir speichern den Chatverlauf nicht. Anthropic löscht Ein- und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen; bei Verdacht auf Verstöße gegen seine Nutzungsrichtlinien kann Anthropic sie länger aufbewahren.

Sie müssen den Assistenten nicht nutzen: Per E-Mail oder über das Kontaktformular erreichen Sie uns genauso.

Kosten-Kalkulator

Auf einzelnen Preis- und Leistungsseiten können Sie mit einem Kalkulator eine Kostenschätzung erstellen und sich per E-Mail zusenden lassen. Die Statistik (siehe „Reichweitenmessung mit Umami“) erfasst dabei nur, welcher Schritt erreicht wurde, welche Projektart gewählt ist und dass eine Anfrage abgeschickt wurde – keine Preise, keine Kontaktdaten, keine weiteren Angaben.

Zweck: Erstellung und Zusendung der Kostenschätzung, Bearbeitung Ihrer Anfrage
Daten: Name, E-Mail-Adresse, Telefonnummer, Firma und Nachricht (freiwillig), Ihre Angaben im Kalkulator (etwa gewünschte Funktionen, Zeitrahmen, bevorzugte Anbieterart), die berechnete Schätzung und eine interne Kennzahl zur Priorisierung
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage
Empfänger: Supabase (Speicherung), Resend (Versand der Schätzung an Sie und der Benachrichtigung an uns), Google Workspace (unser Postfach) – siehe oben
Speicherdauer: Automatische Löschung nach einem Jahr, auf Wunsch früher

Kostenlose Website-Checks

Für den KI-Sichtbarkeits-Check und den SEO-Check geben Sie die Adresse Ihrer Website, Ihre E-Mail-Adresse und freiwillig Ihren Namen und Ihre Branche an. Daraus entsteht eine Anfrage wie über das Kontaktformular, mit Eingangsbestätigung an Ihre Adresse; die Auswertung schicken wir Ihnen per E-Mail.

Beim Barrierefreiheits-Check ruft unser Server den öffentlichen Quelltext der angegebenen Adresse ab und wertet ihn automatisch aus; das Ergebnis sehen Sie sofort. Gespeichert wird nur, wenn Sie freiwillig Ihre E-Mail-Adresse angeben – dann legen wir eine Anfrage mit Adresse und Ergebnis an.

Zweck: Durchführung und Zusendung der Analyse, gegebenenfalls Rückfragen
Daten: Website-Adresse, E-Mail-Adresse, Name und Branche (freiwillig), Analyseergebnis
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen auf Ihre Anfrage
Empfänger: Wie beim Kontaktformular (Supabase, Resend, Google Workspace)
Speicherdauer: Automatische Löschung nach einem Jahr, auf Wunsch früher

KI-Pass: KI-Check und Richtlinien-Generator

Der KI-Check im KI-Pass wertet Ihre Antworten direkt in Ihrem Browser aus. Solange Sie keinen Bericht anfordern, erhalten wir Ihre Antworten nicht; damit Sie beim Neuladen nicht von vorn beginnen, liegen sie ab Ihrer ersten Antwort bis zum Schließen des Tabs im Sitzungsspeicher Ihres Browsers (sessionStorage; technisch erforderlich für den von Ihnen genutzten Dienst, § 25 Abs. 2 Nr. 2 TDDDG); „Neu beginnen“ leert ihn. Die Statistik erfasst im KI-Pass nur: dass ein Check begonnen oder beendet wurde (mit Reifegrad und Größenklasse), dass ein Bericht angefordert wurde (ob der Versand geklappt hat und ob eine Rückmeldung gewünscht ist), dass eine Richtlinie heruntergeladen wurde (Word oder PDF) und dass ein Verweis auf eine Beratungsleistung angeklickt wurde (welche Leistung) – keine Antworten, keinen Richtlinientext, keine E-Mail-Adresse, keinen Namen.

Fordern Sie den PDF-Bericht an, senden Sie uns Ihre E-Mail-Adresse, freiwillig Namen und Unternehmen, Ihre Antworten und ob Sie eine Rückmeldung wegen eines Erstgesprächs wünschen. Unser Server erstellt daraus den Bericht, schickt ihn per E-Mail an Sie und legt eine Anfrage an – wie über das Kontaktformular, mit Ihrem Ergebnis, Firmengröße, Branche und genutzten KI-Werkzeugen. Einen Newsletter senden wir nicht.

Beim Richtlinien-Generator entsteht der Text in Ihrem Browser. Für den Download als Word oder PDF schickt Ihr Browser den Text an unseren Server, der daraus die Datei erzeugt und sofort zurückgibt. Der Text wird dabei nicht gespeichert und nicht mit anderen Daten verknüpft.

Zweck: Erstellung und Zusendung des Berichts, Bearbeitung Ihrer Anfrage und auf Wunsch Kontaktaufnahme wegen eines Erstgesprächs; Erzeugung der Richtlinien-Datei
Daten: Bericht: E-Mail-Adresse, Name und Unternehmen (freiwillig), Ihre Antworten im Check, das Ergebnis, Ihr Rückmeldewunsch, Zeitpunkt. Richtlinie: der Text, den Sie herunterladen
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Zusendung des angeforderten Berichts und vorvertragliche Maßnahmen auf Ihre Anfrage; Art. 6 Abs. 1 lit. f DSGVO für die interne Organisation und die Erzeugung der Richtlinien-Datei
Empfänger: Supabase (Speicherung der Anfrage), Resend (Versand des Berichts an Sie und der Benachrichtigung an uns), Google Workspace (unser Postfach) – siehe oben. Die Richtlinien-Datei erzeugt unser eigener Server bei Hetzner.
Speicherdauer: Anfrage: automatische Löschung nach einem Jahr, auf Wunsch früher. Richtlinie: keine Speicherung. Antworten im Browser: bis Sie den Tab schließen.

KI-Pass Team

In der Team-Version des KI-Pass legt eine Firma ein Konto an und lädt Beschäftigte per Link oder QR-Code ein. Die Anmeldung läuft ohne Passwort: Sie erhalten einen Anmeldelink per E-Mail über den Anmeldedienst von Supabase, versandt über Resend. Nach der Anmeldung speichert Ihr Browser ein technisch notwendiges Sitzungs-Cookie (§ 25 Abs. 2 Nr. 2 TDDDG).

Für die Daten der Beschäftigten ist die jeweilige Firma verantwortlich; wir verarbeiten sie in ihrem Auftrag (Art. 28 DSGVO). Jede Firma sieht nur ihre eigenen Daten. Die öffentliche Prüfseite eines Nachweises zeigt Firmenname, Datum, Zeitraum, Anzahl der Maßnahmen und Personen sowie die Prüfsumme – keine Namen.

Zweck: Bereitstellung der Team-Version: Anmeldung, Schulungen, Bestätigung der Richtlinie, KI-Tool-Register, Nachweise der KI-Kompetenzmaßnahmen
Daten: Anmeldekonto: E-Mail-Adresse und Anmeldezeitpunkte. Im Team: Name, E-Mail-Adresse, Rolle, Beitrittsdatum; abgeschlossene Schulungseinheiten mit Datum, Dauer, Themen und Ergebnis; Bestätigungen der Richtlinie mit Zeitstempel; Einträge im Tool-Register mit meldender Person; Nachweise und Prüfmappen mit Namen der Teilnehmenden (ohne Ergebnis); Name der Person, die den AV-Vertrag abschließt. Bei Admins außerdem: erstellte Einladungen (der Link nur als Hash), veröffentlichte Richtlinien, bei bezahlten Stufen Abo-Stufe und Kennungen des Zahlungsanbieters
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Vertrag mit der Firma bzw. Nutzung auf deren Einladung; für Beschäftigtendaten Verarbeitung im Auftrag der Firma (Art. 28 DSGVO)
Empfänger: Supabase (Datenbank und Anmeldung, Frankfurt am Main), Hetzner (Server), Resend (Anmelde-E-Mail) – siehe oben; die Firma, der Sie angehören. Bei bezahlten Stufen Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich, als Wiederverkäufer (Merchant of Record) und eigener Verantwortlicher für die Zahlungsdaten (Angemessenheitsbeschluss, Art. 45 DSGVO)
Speicherdauer: Solange die Firma den KI-Pass nutzt. Entfernt eine Admin-Person Sie aus dem Team, endet Ihr Zugang; Ihre Abschlüsse, Bestätigungen und erstellte Nachweise bleiben für den Nachweis der Firma gespeichert. Löscht eine Admin-Person die Firma, werden alle Daten der Firma sofort gelöscht. Ihr Anmeldekonto (E-Mail-Adresse) löschen wir auf Anfrage.

Dienstleister im Überblick

Diese Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag oder erhalten sie von uns:

Dienstleister	Aufgabe	Drittland
Hetzner Online GmbH	Server	Keine (Deutschland)
Supabase	Datenbank (Frankfurt am Main)	Nur bei Zugriffen außerhalb der EU – Standardvertragsklauseln
Plus Five Five, Inc. (Resend)	E-Mail-Versand	USA – Data Privacy Framework
Google (Google Workspace)	E-Mail-Postfach	USA – Data Privacy Framework
Anthropic	KI-Assistent	USA – Standardvertragsklauseln
Paddle.com Market Limited	Zahlung KI-Pass Team (eigener Verantwortlicher)	Vereinigtes Königreich – Angemessenheitsbeschluss

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die als Pflichtangaben gekennzeichneten Felder können wir eine Anfrage jedoch nicht bearbeiten.

Kundenprojekte

Daten, die wir in Kundenprojekten – etwa in KI-Sprints oder Geodaten-Auswertungen – im Auftrag unserer Kunden verarbeiten, sind nicht Gegenstand dieser Erklärung; dafür schließen wir mit dem jeweiligen Kunden einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Ihre Rechte

Sie haben gegenüber uns das Recht auf

Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO).

Widerspruchsrecht: Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, können Sie ihr aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.

Eine formlose Nachricht an hallo@headon.pro genügt.

Beschwerde bei der Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35, 70191 Stuttgart
Postanschrift: Postfach 10 29 32, 70025 Stuttgart
Telefon: 0711 615541-0 · E-Mail: poststelle@lfdi.bwl.de
www.baden-wuerttemberg.datenschutz.de

Änderungen

Wir passen diese Erklärung an, wenn sich unser Angebot oder die eingesetzten Dienste ändern. Es gilt die jeweils hier veröffentlichte Fassung.