Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie nach der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, insbesondere § 25 TDDDG — Einwilligung in die Verarbeitung personenbezogener Daten bei Endgeräten, Nachfolger des TTDSG) über alle Verarbeitungen personenbezogener Daten auf dieser Website und im Rahmen unserer Dienste. Sie gilt ergänzend zu den Informationen nach Art. 13 DSGVO. Wir setzen ausschließlich die unten im Einzelnen benannten Dienste ein — inklusive der von uns genutzten KI-Modelle (OpenAI, Anthropic, z.ai/Moonshot AI).

Verantwortliche Stelle:

Tresoro LLC, 30 N Gould St Ste N, Sheridan, Wyoming 82801, USA (Marken-Website: automatisieren.io)

Kontakt Datenschutz:

office@tresoro-consulting.com

Rechtsrahmen:

DSGVO · BDSG · TDDDG · ePrivacy-Richtlinie 2002/58/EU · EU-US Data Privacy Framework

Stand:

Oktober 2026 (faktengeprüft gegen die aktuellen Anbieter- und Kommissionsangaben)

Wir verarbeiten personenbezogen Daten ausschließlich auf folgenden Rechtsgrundlagen. Für das Speichern oder Auslesen von Informationen auf Ihrem Endgerät (Cookies, Local Storage, Geräte-Kennungen) gilt zusätzlich § 25 Abs. 1 TDDDG: Dies ist nur mit Ihrer Einwilligung zulässig, es sei denn, die Speicherung ist technisch unbedingt erforderlich (dezidiert: für die Bereitstellung eines von Ihnen ausdrücklich gewünschten Dienstes).

Art. 6 Abs. 1 lit. a — Einwilligung:

Statistik- und Marketing-Cookies (Google Analytics 4, Google Ads, Meta Pixel, Microsoft Clarity) sowie einzelne KI-Funktionen. Einwilligung jederzeit widerrufbar (Art. 7 Abs. 3 DSGVO).

Art. 6 Abs. 1 lit. b — Vertrag:

Bearbeitung von Anfragen, Angeboten und Buchungen; Kontaktwege (E-Mail, Telegram).

Art. 6 Abs. 1 lit. c — Rechtspflicht:

Handels- und steuerrechtliche Aufbewahrung (z. B. § 147 AO, § 257 HGB, 6/10 Jahre).

Art. 6 Abs. 1 lit. f — berechtigtes Interesse:

IT-Sicherheit und Missbrauchsschutz (Server-Logfiles, FingerprintJS-Geräteprüfung), Fehlersuche, Rechtsdurchsetzung — jeweils mit Ihrem Widerspruchsrecht nach Art. 21 DSGVO.

§ 25 TDDDG:

Technisch notwendige Speicherungen (Session, Einwilligungs-Status „cookie-preferences") erfolgen ohne Einwilligung; alle anderen nur nach vorheriger Einwilligung über unseren Consent-Banner.

Mehrere unserer Dienstleister sitzen in den USA oder in Drittländern. Die Zulässigkeit dieser Übermittungen richtet sich nach Kapitel V DSGVO. Wir geben die Rechtslage hier bewusst transparent wieder — für beide Seiten des Atlantiks:

EU-Seite — DSGVO Kapitel V:

Art. 44–49 DSGVO verbieten Übermittungen in Drittländer grundsätzlich, es sei denn, ein Angemessenheitsbeschluss der EU-Kommission (Art. 45) oder geeignete Garantien (Art. 46, insbesondere Standardvertragsklauseln — Durchführungsbeschluss (EU) 2021/914) liegen vor.

EU-Seite — EU-US Data Privacy Framework (DPF):

Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023: Die Kommission erkennt das US-Datenschutzframework für zertifizierte Unternehmen als angemessen an (Nachfolger von Privacy Shield, das 2020 im „Schrems II"-Urteil fiel, C-311/18).

EU-Seite — TDDDG/ePrivacy:

Richtlinie 2002/58/EG und § 25 TDDDG regeln die Einwilligungspflicht für Endgeräte-Zugriffe; die ePrivacy-Verordnung (EPVO) ist weiterhin im Gesetzgebungsprozess und ändert die Rechtslage bis zum Inkrafttreten nicht.

USA-Seite — Grundlagen des DPF:

Executive Order 14086 (07.10.2022) und das „Data Protection Review Court" (DPRC): US-Behördenzugriffe sind auf das Notwendige begrenzt, ein unabhängiger gerichtlicher Rechtsschutz (Redress) für EU-Betroffene ist eingerichtet; die Durchsetzung obliegt der US Federal Trade Commission (FTC).

USA-Seite — Zertifizierung:

Unternehmen zertifizieren sich beim US-Handelsministerium (International Trade Administration). Die Teilnahme ist öffentlich im DPF-Liste-Verzeichnis prüfbar; wir prüfen den Status unserer Anbieter regelmäßig.

Ohne Angemessenheit (z. B. China, VAE):

Für Anbieter ohne Angemessenheitsbeschluss (Moonshot AI/China, Telegram/VAE) stützen wir uns auf Standardvertragsklauseln (2021/914) nebst ergänzenden Maßnahmen und einer Transfer-Folgenabschätzung (Art. 46, Art. 71 DSGVO).

Ihre Rechte bei Übermittlungen:

Sie können sich bei DPF-zertifizierten Anbietern zusätzlich direkt an deren Beschwerdeverfahren und an den DPRC wenden; unabhängig davon bleibt Ihr Beschwerderecht nach Art. 77 DSGVO (Abschnitt 13) unberührt.

Diese Website wird bei Vercel Inc. (USA) gehostet. Beim Aufruf der Website verarbeitet der Hosting-Anbieter in unserem Auftrag Server-Logfiles (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — sicherer, störungsfreier Betrieb). Mit Vercel besteht ein Vertrag über Auftragsverarbeitung (Art. 28 DSGVO).

Anbieter/Sitz:

Vercel Inc., 440 N Barranca Ave #4177, Covina, CA 91723, USA — EU-US-DPF-zertifiziert; Rechenzentren u. a. Frankfurt am Main (EU-Region).

Verarbeitete Daten:

IP-Adresse (gekürzt), Zeitpunkt, aufgerufene Seite, HTTP-Status, User-Agent, Referrer, Datenvolumen.

Cookies/Speicherung:

Hosting selbst setzt keine Marketing-Cookies; ggf. kurzfristige technische Cookies (z. B. Load-Balancing, CSRF, „_vercel_jwt" nur bei geschützten Bereichen, Session).

Speicherdauer:

Logfiles maximal 30 Tage, danach Löschung/Anonymisierung; Backups maximal 90 Tage.

Drittlandtransfer:

Abgesichert über DPF-Teilnahme von Vercel; ergänzend Standardvertragsklauseln mit Vercel Inc.

Beim ersten Besuch erscheint unser Consent-Banner (eigene Lösung, keine Einbindung eines Drittanbieter-CMP). Sie können alle Kategorien akzeptieren, nur notwendige zulassen oder einzelne Kategorien (Statistik, Marketing, externe Inhalte) feinsteuern. Ihre Wahl speichern wir lokal (Local Storage, Schlüssel „cookie-preferences"). Vor der Einwilligung laden wir keine einwilligungspflichtigen Dienste.

Technisch notwendig (immer aktiv):

cookie-preferences (Local Storage, bis zur Löschung) — speichert Ihre Einwilligungsentscheidung; Session- und Sicherheits-Cookies des Hostings.

Statistik (Einwilligung):

Google Analytics 4, Microsoft Clarity — Reichweitenmessung, Usability.

Marketing (Einwilligung):

Google Ads/gtag, Meta Pixel — Konversionsmessung, Anzeigenoptimierung.

Betrugs-/Missbrauchsschutz (berechtigtes Interesse):

FingerprintJS-Geräteprüfung (Abschnitt 7.3) — läuft unabhängig von der Cookie-Einwilligung als Sicherheitsmaßnahme; Widerspruch nach Art. 21 DSGVO möglich.

Nachtrag/Entzug:

Ihre Auswahl ändern Sie jederzeit über den Cookie-Banner (erneut aufrufbar) — die Einwilligung wird dann sofort wirksam entzogen.

Für jeden Dienst nennen wir Zweck, Anbieter, Daten, gesetzte Cookies mit Namen und Laufzeit, Rechtsgrundlage, Drittland-Absicherung und Widerruf. Alle einwilligungsbasierten Dienste werden erst nach erteilter Einwilligung geladen.

7.1 Google Tag Manager (Google Ireland Ltd., Dublin / Google LLC, USA — DPF):

Steuerungs-Container für Tags. Setzt selbst keine eigenen Tracking-Cookies, kann aber Tags (GA4, Ads) auslösen. Rechtsgrundlage: technisch notwendiger Einsatz im Rahmen der Einwilligungsverwaltung, Art. 6 Abs. 1 lit. f. Speicherdauer: Container-Cache, Session.

7.2 Google Analytics 4 (Google Ireland Ltd. — DPF + SCCs):

Reichweitenmessung. Cookies: „_ga" (max. 400 Tage/2 Jahre je Konfiguration), „_ga_<Container-ID>" (2 Jahre). Daten: pseudonyme Nutzer-ID, Seitenaufrufe, Ereignisse, grober Standort, Referrer. IP-Anonymisierung aktiviert. Einwilligung (Art. 6 Abs. 1 lit. a, § 25 TDDDG). Widerruf: Banner oder google.de/settings/ads. Datenlöschung serverseitig nach max. 14 Monaten.

7.3 FingerprintJS (FingerprintJS, Inc., 548 Market St, San Francisco, USA — SCCs):

Betrugs- und Missbrauchsschutz (z. B. Schutz des Analyse-Funnel vor Bot- und Mehrfachabsendungen). Erzeugt eine Geräte-/Besucher-ID (Server-seitig berechnet; lokal gespeicherte Kennung, z. B. „fpjs"/visitorId, Local Storage/Cookie, bis zur Löschung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f (IT-Sicherheit). Widerspruch: Kontakt Datenschutz — wir sperpen die Auswertung für Ihre Kennung.

7.4 Google Ads / gtag (Google Ireland Ltd. — DPF):

Konversionsmessung unserer Anzeigen. Cookies: „gcl_au" (90 Tage), ggf. IDE-lose, conversionsgetriebene Local-Storage-Werte. Einwilligung Marketing. Widerruf über Banner/Google-Anzeigeneinstellungen.

7.5 Google Search Console (Google Ireland Ltd.):

Betreiber-Tool (Indexierung, Crawling-Fehler). Setzt für Website-Besucher keine Cookies und übermittelt keine personenbezogenen Nutzungsdaten an Dritte; Verarbeitung beschränkt sich auf unsere Domain-Verwaltung, Art. 6 Abs. 1 lit. f.

7.6 Meta Pixel (Meta Platforms Ireland Ltd., Dublin — DPF-zertifizierte Meta Inc. + SCCs):

Konversions-Tracking für Facebook-/Instagram-Anzeigen. Cookies: „_fbp" (3 Monate, eigene Domain) und „fr" (3 Monate, facebook.com). Daten: Ereignisse (Seitenaufruf, Lead), Cookie- und Geräte-ID, grober Standort. Einwilligung Marketing. Hinweis: Bei der Nutzung von Meta-Anzeigen besteht eine gemeinsame Verantwortlichkeit mit Meta (Art. 26 DSGVO; Meta-Datenschutzrichtlinien und -AVV gelten ergänzend). Widerruf: Banner.

7.7 Microsoft Clarity (Microsoft Corporation, Redmond, WA, USA — DPF):

Usability-Analyse: Heatmaps und anonyme Sitzungsaufzeichnungen (Maskierung aktivierter Eingabefelder). Cookies: „_clck" (1 Jahr), „_clsk" (Session/1 Tag). Einwilligung Statistik. Widerruf: Banner; zusätzlich clarity.ms Opt-out.

Wir setzen große Sprachmodelle als Arbeitswerkzeuge ein — insbesondere zur Auswertung Ihrer Anfrage im Analyse-Funnel (Lead-Qualifizierung, Zusammenfassungen). Übermittlungen erfolgen als Auftragsverarbeitung (Art. 28 DSGVO) auf Grundlage unserer Arbeitsanweisungen; die Anbieter verarbeiten Ihre Daten nicht zu eigenen Zwecken, insbesondere nicht zum Modelltraining, soweit die jeweiligen API-Zusagen greifen. Sensible Daten (Art. 9 DSGVO) übermitteln wir nicht; Kategorien mit besonderem Risiko (z. B. KI-Act-Risikoklassen) verarbeiten wir nicht.

8.1 OpenAI (OpenAI Ireland Ltd. für EEA / OpenAI OpCo LLC, San Francisco — DPF + SCCs):

Modelle der GPT-Familie via API. Übermittelte Daten: Ihre Formularangaben (Name, Kontakt, Firmen-Website, Auswahl-Antworten) zwecks Auswertung. Nach aktuellen Anbieterangaben (API Terms/Zero-Data-Retention-Option) werden API-Eingaben nicht zum Training verwendet und nach max. 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (vorvertraglich) — KI-Auswertung ist Teil der angefragten Analyse.

8.2 Anthropic (Anthropic PBC, 548 Market St, San Francisco — DPF-zertifiziert + SCCs):

Modelle der Claude-Familie via API. Gleiches Zweck-/Datenprofil wie 8.1; Anthropic verarbeitet API-Daten nach aktuellen Zusagen nicht zum Modelltraining (Commercial Terms of Service). Löschung entsprechend unseren Vorgaben.

8.3 z.ai / Moonshot AI (Moonshot AI Co., Ltd., Peking, China — kein Angemessenheitsbeschluss):

Modelle (Kimi/z.ai) via API. Derselbe Zweck. China: Kein Beschluss nach Art. 45 DSGVO; Absicherung über Standardvertragsklauseln (2021/914), ergänzende Maßnahmen (Verschlüsselung, Pseudonymisierung der Eingaben) und dokumentierte Transfer-Folgenabschätzung. Hinweis: Chinesisches Datenschutzgesetz (PIPL) gilt anbieterseitig; wir geben keine Sensiblen Daten weiter.

8.4 Ihre Rechte bei der KI-Verarbeitung:

Auskunft, Löschung und Widerspruch gelten auch für KI-verarbeitete Daten (Abschnitt 13). Auf Wunsch erstellen wir manuelle Auswertung ohne KI-Einsatz — teilen Sie uns das im Formular mit.

8.5 EU-KI-Verordnung (Verordnung (EU) 2024/1689):

Die von uns eingesetzten Anwendungsfälle sind nach aktlicher Selbsteinschätzung keine Hochrisiko-Systeme i. S. d. Anhang III; wir setzen die Transparenzpflichten für KI-Interaktion um, wo anwendbar.

Wenn Sie uns über das Kontaktformular, per E-Mail oder über Telegram schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.

E-Mail/Formular (Art. 6 Abs. 1 lit. b DSGVO):

Verarbeitung von Name, Kontakt- und Inhaltsdaten bis zur Abwicklung; danach löschungsfähig, soweit keine Aufbewahrungspflichten (10 Jahre für Geschäftsbriefe bei Vertragsabschluss).

Telegram (Telegram FZ-LLC, Dubai, VAE — keine DPF/SCC-Angemessenheit; SCCs soweit verfügbar):

Reiner Kommunikationskanal: Unsere Website setzt hierfür keine Cookies und übermittelt keine Daten an Telegram — erst wenn Sie uns aktiv auf Telegram anschreiben, gelten die Telegram-Datenschutzbestimmungen für Ihren Messenger (Ende-zu-Ende-verschlüsselte Chats nach Herstellerangabe). Rechtsgrundlage unsererseits: Art. 6 Abs. 1 lit. b/f. Unsere Telegram-Identität: @automatisieren (Kontakt-Links dieser Website).

Telefon/Rückruf:

Rufnummern werden ausschließlich zur vertraglichen Kommunikation genutzt, keine systematische Aufzeichnung.

Interne Workflows (Benachrichtigungen, Lead-Routing, Reporting) betreiben wir mit der Open-Source-Software n8n auf eigener bzw. von uns kontrollierter Infrastruktur.

Kein Drittanbieter-Dienst:

n8n läuft selbst gehostet — es erfolgt keine Übermittlung an den Software-Hersteller (n8n) und keine Cloud-Mandanten-Nutzung; Verarbeitung im eigenen Verantwortungsbereich (Art. 6 Abs. 1 lit. b/f).

Datenbestand:

Formular-Eingaben und System-Metadaten (Zeitstempel, Quelle), soweit für die genannten Workflows erforderlich.

Speicherdauer:

Workflow-Logs max. 30 Tage; ausgelöste Daten gemäß Abschnitt 12.

Ihre Daten geben wir nur weiter, soweit es die Zwecke erfordern oder Sie eingewilligt haben:

Auftragsverarbeiter (Art. 28 DSGVO):

Vercel (Hosting), Google (Analytics/Ads/GTM), Meta (Pixel), Microsoft (Clarity), FingerprintJS, OpenAI/Anthropic/Moonshot (KI-APIs).

Gemeinsam Verantwortliche (Art. 26 DSGVO):

Meta Platforms (für die Metadaten-Verarbeitung im Zusammenhang mit Anzeigen, ergänzend zu deren Richtlinien).

Betroffene Kategorien:

Website-Besucher, Interessenten (Funnel-Eingaben), Kunden (Vertragsdaten).

Keine Datenverkäufe:

Wir verkaufen keine personenbezogenen Daten und nehmen nicht an Datenmakler-Netzwerken teil.

Wir speichern Daten nur so lange, wie der Zweck besteht oder gesetzliche Fristen laufen:

Server-Logfiles:

max. 30 Tage

Statistik-/Marketing-Cookies:

gemäß den Laufzeiten in Abschnitt 7 (max. 400 Tage/_ga, 3 Monate/_fbp, 1 Jahr/_clck)

Funnel-Anfragen:

24 Monate für Nachverfolgung, danach Anonymisierung/Löschung (außer Vertragsabschluss → Vertragsakte)

Vertrags-/Geschäftsdaten:

10 Jahre (§ 147 AO) bzw. 6 Jahre (§ 257 HGB) nach Abschluss

Bewerbungen (falls eingereicht):

6 Monate nach Abschluss des Verfahrens (§ 26 BDSG), unless Einwilligung länger

Sie haben als betroffene Person folgende Rechte. Zur Ausübung genügt eine formlose Nachricht an den Kontakt Datenschutz (Abschnitt 1); eine Identitätsprüfung führen wir nur bei berechtigten Zweifeln durch. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Auskunft (Art. 15 DSGVO):

Sie erhalten Auskunft über alle zu Ihrer Person gespeicherten Daten, Verarbeitungszwecke, Empfänger, Drittlandtransfer-Garantien und Speicherdauer.

Berichtigung (Art. 16 DSGVO):

Unrichtige Daten werden unverzüglich korrigiert.

Löschung (Art. 17 DSGVO):

Sie können die Löschung verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen (z. B. Rechtsverteidigung) entgegenstehen (Ausnahmen Art. 17 Abs. 3).

Einschränkung der Verarbeitung (Art. 18 DSGVO):

Bei Richtigkeitsstreit oder Widerspruchsprüfung wird die Verarbeitung eingeschränkt.

Datenübertragbarkeit (Art. 20 DSGVO):

Sie erhalten Ihre Daten in strukturiertem, gängigem Format (z. B. JSON/CSV) oder wir übermitteln an einen von Ihnen benannten Verantwortlichen.

Widerspruch (Art. 21 DSGVO):

Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (insbesondere FingerprintJS-Geräteprüfung, Logfile-Analyse) können Sie jederzeit Widerspruch einlegen — wir prüfen und stellen die Verarbeitung ein, es sei denn, unsere Interessen überwiegen zwingend. Widerspruch/Opt-out von Profiling-Maßnahmen der Werbenetzwerke zusätzlich in den jeweiligen Anbieter-Einstellungen.

Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO):

Jede Einwilligung (Cookies, KI-Auswertung, Marketing) können Sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Consent-Banner oder eine Nachricht an uns.

Beschwerderecht (Art. 77 DSGVO):

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren — insbesondere bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW, Kavalleriestr. 221, 40213 Düsseldorf, poststelle@ldi.nrw.de) oder jeder anderen Aufsichtsbehörde.

US-Redress (DPF):

Bei DPF-zertifizierten Anbietern (Vercel, Google, Meta, Microsoft, OpenAI, Anthropic) können Sie zusätzlich deren interne Beschwerdeverfahren nutzen und nach Erschöpfen den Data Protection Review Court (DPRC) anrufen.

Recht auf wirksamen gerichtlichen Rechtsschutz (Art. 79 DSGVO):

Unabhängig hiervon steht Ihnen der Klageweg offen.

Die Website nutzt durchgängig TLS/HTTPS (HSTS). Zugriffe auf Systeme sind rollenbasiert beschränkt, mit 2FA gesichert und werden protokolliert. Backups sind verschlüsselt. Bei einem Datenschutzvorfall informieren wir Sie und die Aufsichtsbehörde unverzüglich gemäß Art. 33/34 DSGVO (innerhalb von 72 Stunden).

Verschlüsselung:

TLS 1.2/1.3 im Transport, AES-256 im Ruhezustand bei unseren Anbietern.

Meldeweg:

office@tresoro-consulting.com — im Betreff „Datenvorfall" für Priorisierung.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste, die eingesetzten Anbieter oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie immer hier. Bei wesentlichen Änderungen informieren wir aktiv (z. B. Hinweis im Consent-Banner).

Fassung:

Oktober 2026 — faktengeprüft: DPF-Status der genannten Anbieter, Cookie-Laufzeiten und API-Trainings-Zusagen nach den jeweils aktuellen Anbieterdokumenten.

Prüfzyklus:

Halbjährliche Prüfung von DPF-Zertifizierungsstatus und Anbieter-Policies.

Weitere rechtliche Angaben finden Sie in unserem Impressum.