Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie nach Maßgabe der Datenschutz-Grundverordnung (DSGVO, Verordnung (EU) 2016/679) sowie des deutschen Telekommunikations-Digital-Dienste-Datenschutz-Gesetzes (TDDDG, §25 — Einwilligung in die Verarbeitung personenbezogener Daten bei Endgeräten) über die Verarbeitung personenbezogener Daten beim Besuch dieser Website und bei der Nutzung unserer Dienste. Verantwortlicher ist ein Unternehmen mit Sitz in den USA (Wyoming), das seine Dienste auch in der Europäischen Union anbietet.

Verantwortliche Stelle:

Tresoro LLC, 30 N Gould St Ste N, Sheridan, Wyoming 82801, USA

Marken-Website:

automatisieren.io (betrieben durch Tresoro LLC)

Kontakt (Datenschutz):

office@tresoro-consulting.com

Stand dieser Erklärung:

Juni 2026

Wir bieten unsere Dienste aktiv auch Personen in der Europäischen Union an. Gemäß Art. 27 DSGVO ist ein Verantwortlicher, der nicht in der EU niedergelassen ist, für die Verarbeitung personenbezogener Daten im Rahmen der Angebotseröffnung für EU-Betroffene grundsätzlich verpflichtet, einen Vertreter in einem EU-Mitgliedstaat zu benennen. Über diesen Vertreter können Sie uns in allen Angelegenheiten des Datenschutzes erreichen. Wir benennen bzw. ergänzen die Vertreterstelle nach Maßgabe des Art. 27 DSGVO.

EU-Vertreter (Art. 27 DSGVO):

Wird gemäß Art. 27 DSGVO benannt und hier veröffentlicht.

Ausnahmeprüfung:

Sofern eine Ausnahme nach Art. 27 Abs. 2 DSGVO eingreift, wird dies hier dokumentiert.

Hinweis:

Betroffene können sich jederzeit an den EU-Vertreter oder direkt an uns wenden.

Wir verarbeiten personenbezogene Daten ausschließlich auf einer der folgenden Rechtsgrundlagen der DSGVO:

Art. 6 Abs. 1 lit. a — Einwilligung:

Die betroffene Person hat ihre Einwilligung zu einer bestimmten Verarbeitung erteilt (z. B. Statistik- oder Marketing-Cookies, Newsletter, KI-Funktionen).

Art. 6 Abs. 1 lit. b — Vertrag:

Die Verarbeitung ist zur Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich (z. B. Bearbeitung von Anfragen und Buchungen).

Art. 6 Abs. 1 lit. c — rechtliche Verpflichtung:

Die Verarbeitung ist zur Erfüllung gesetzlicher Pflichten erforderlich (z. B. Aufbewahrung von Geschäftsunterlagen).

Art. 6 Abs. 1 lit. f — berechtigtes Interesse:

Die Verarbeitung ist zur Wahrung unserer oder Dritter berechtigter Interessen erforderlich (z. B. IT-Sicherheit, Basis-Statistik ohne personenbezogenes Profil, Rechtsdurchsetzung), sofern nicht Ihre Interessen überwiegen.

Diese Website wird bei Vercel Inc. gehostet. Beim Aufruf der Website werden technische Verbindungsdaten (IP-Adresse, Datum/Uhrzeit, angeforderte Ressource, Referrer, Browser- und Betriebssystem) zur Auslieferung und Sicherheit der Website verarbeitet. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren, stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Hosting-Provider:

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA

Speicherort:

Vereinigte Staaten von Amerika (Cloud-Infrastruktur)

Verarbeitete Daten:

IP-Adresse (ggf. gekürzt), Zugriffszeitpunkt, Request-Daten, Browser-/Geräteinformationen

Sicherheitsmaßnahmen:

TLS-/SSL-Verschlüsselung (HTTPS), DDoS-Schutz, ISO 27001-zertifizierte Infrastruktur des Anbieters

Da Verantwortlicher und mehrere Dienstleister in den USA sitzen, findet eine Übermittlung personenbezogener Daten in die USA statt. Diese erfolgt auf Basis des EU-US Data Privacy Framework (DPF). Der Europäische Gerichtshof (CJEU) hat hierüber noch nicht endgültig entschieden (Stand Juni 2026); als ergänzende Schutzmaßnahme verwenden wir ergänzend Standardvertragsklauseln (SCC) der EU-Kommission und führen eine Übertragungsfolgenabschätzung (Transfer Impact Assessment) durch.

Übertragungsgrundlage:

EU-US Data Privacy Framework (DPF, gültig 2026) — ggf. ergänzt durch Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Aktueller Stand DPF:

Gültig; die erste gerichtliche Anfechtung (Latombe v. Commission, EuG 03.09.2025) wurde abgewiesen, eine Berufung zum CJEU ist jedoch anhängig.

Ergänzende Maßnahmen:

Verschlüsselung, Minimierung, für DPF zertifizierte Empfänger, laufende Rechtsbeobachtung (Schrems-III-Risiko)

Für KI-gestützte Funktionen (z. B. Analyse, Quick-Check, Code-Audit, Coaching-Inhalte) setzen wir Large-Language-Modelle folgender Anbieter ein: Anthropic (Claude), Google (Gemini) und z.ai (GLM). Mit der Nutzung dieser Funktionen — spätestens mit der Eingabe in das jeweilige KI-Feld bzw. mit Beauftragung der Leistung — erklärt die Kundin / der Kunde ihr bzw. sein ausdrückliches Einverständnis damit, dass die eingegebenen Inhalte durch die genannten KI-Anbieter verarbeitet werden. Diese Einwilligung ist freiwillig und jederzeit widerrufbar; ohne sie kann die jeweilige KI-Funktion nicht erbracht werden. Geben Sie in KI-Felder keine besonders sensiblen Daten (Art. 9 DSGVO, z. B. Gesundheits- oder Ausweisdaten) ein. Als Einsatzbetreiber („Deployer") beachten wir die Transparenzpflichten der EU-KI-Verordnung (VO (EU) 2024/1689, anwendbar ab 02.08.2026).

Anthropic (Claude):

Anthropic PBC, USA — Verarbeitung freiwilliger Eingaben im Rahmen der KI-Funktionen; Übermittlung in die USA (DPF/SCC).

Google (Gemini):

Google LLC / Google Ireland Limited — KI-Verarbeitung; USA- bzw. Irland-Bezug (DPF/SCC).

z.ai / GLM (Zhipu AI):

Z.ai / Zhipu AI — Einsatz von GLM-Sprachmodellen; bei Übermittlung in Drittländer (z. B. China) SCC + ergänzende Maßnahmen nach Art. 44 ff. DSGVO.

Einverständnis der Kundin / des Kunden:

Durch Nutzung der KI-Funktion bzw. Eingabe in das KI-Feld willigt die Kundin / der Kunde ausdrücklich in die Verarbeitung durch diese Anbieter ein (Art. 6 Abs. 1 lit. a DSGVO) — jederzeit widerrufbar (Art. 7 Abs. 3 DSGVO).

Rechtsgrundlage:

Art. 6 Abs. 1 lit. a (Einwilligung), ergänzend lit. b (vertragliche Maßnahmen) und lit. f (berechtigtes Interesse).

EU AI Act:

Einsatz als Anwender (Deployer); Transparenz- und Informationspflichten nach VO (EU) 2024/1689 werden beachtet.

Wenn Sie uns über Formulare, per E-Mail oder Messenger kontaktieren, werden die von Ihnen angegebenen Daten zur Bearbeitung Ihrer Anfrage verarbeitet. Formular-Daten werden über einen Webhook-Dienst übermittelt. Für die E-Mail-Kommunikation nutzen wir Proton. Die Verarbeitung erfolgt zur Durchführung vorvertraglicher oder vertraglicher Maßnahmen bzw. auf Grundlage Ihres Kontaktwunsches (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

Erhobene Daten:

Name, E-Mail-Adresse, Telefonnummer (freiwillig), Unternehmen, Nachrichtstext, ggf. mitgeteilte Projektinformationen

E-Mail-Provider:

Proton AG, Schweiz — verschlüsselte E-Mail-Infrastruktur (Zero-Knowledge-Architektur)

Zweck:

Bearbeitung und Beantwortung Ihrer Anfrage, Angebotserstellung, Vertragsabwicklung

Speicherdauer:

Bis zur Abschlussbearbeitung, anschließend längstens 24 Monate (laufende Aktenprüfung).

Wir setzen Microsoft Clarity ein, um die Website-Nutzung zu verstehen und die Bedienbarkeit zu verbessern. Clarity kann Sitzungsaufzeichnungen (Session Recordings) und Heatmaps erstellen und pseudonyme Nutzungsstatistiken erfassen. Clarity ist ein Statistik-Dienst und wird ausschließlich nach Ihrer ausdrücklichen Einwilligung in die Kategorie „Statistik & Analytics" geladen. Ohne Einwilligung wird Clarity nicht ausgeführt. Rechtsgrundlage bei Einsatz: Art. 6 Abs. 1 lit. a DSGVO i. V. m. §25 TDDDG.

Anbieter:

Microsoft Corporation, USA — Datenschutz-Zertifizierung unter dem EU-US Data Privacy Framework.

Funktionen:

Klick-Heatmaps, Scroll-Tiefen, Session-Replay (pseudonymisiert), aggregierte Metriken

Einwilligung:

Erforderlich — über das Consent-Banner (Kategorie „Statistik & Analytics"). Jederzeit widerrufbar.

Status (Juni 2026):

Aktiv — jedoch an Ihre Einwilligung gebunden (Consent-gesteuert).

Für Reichweiten-, Conversion- und Kampagnenmessung können — ausschließlich nach Ihrer Einwilligung — folgende Dienste der Kategorien „Statistik & Analytics" bzw. „Marketing" geladen werden. Sofern ein Dienst nicht aktiv eingebunden ist, wird er auch nicht ausgeführt. Die Einbindung erfolgt stets über unser Consent-Management.

Google Tag Manager (GTM):

Tag-Management (Google Ireland / Google LLC) — steuert die Auslieferung anderer Tags; nur nach Einwilligung.

Google Analytics 4 (GA4):

Website-Nutzungsanalyse mit pseudonymisierter Kennung; nur nach Einwilligung (Statistik).

Meta Pixel / Facebook Conversions API:

Conversion-Messung für Meta-Werbung (Meta Platforms Ireland Ltd.); nur nach Einwilligung (Marketing).

Google Ads Conversion-Tracking:

Erfolgsmessung von Google-Ads-Kampagnen; nur nach Einwilligung (Marketing).

LinkedIn Insight Tag:

Reichweite und Conversions für LinkedIn-Kampagnen (LinkedIn Ireland); nur nach Einwilligung (Marketing).

Hinweis:

Welche dieser Dienste aktiv sind, entnehmen Sie dem Consent-Banner. Nicht angehakte Dienste werden nicht geladen.

Die Website nutzt folgende technische Bibliotheken und externe Ressourcen. Bei Einbindung externer Schriftarten kann die IP-Adresse an den Anbieter übermittelt werden.

Schriftart Switzer:

Fontshare (Indian Type Foundry / api.fontshare.com) — Nachladen der Web-Schriftart; Datenschutz: https://www.fontshare.com/legal/privacy

Framework Next.js / React:

Vercel Inc. — Web-Framework (App Router, Turbopack)

UI-Bibliotheken:

Tailwind CSS, Framer Motion, Radix UI, Headless UI, Lucide Icons, Heroicons

Sicherheit & Validierung:

Zod (Schema-Validierung), Sharp (Bildverarbeitung), eigene Rate-Limiting-Middleware

Wir verwenden Cookies und lokale Speicherverfahren (localStorage) gemäß §25 TDDDG (Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie). Nicht notwendige Cookies und Tracking-Technologien werden erst nach Ihrer ausdrücklichen, informierten Einwilligung gesetzt oder ausgeführt. Über unser Consent-Banner können Sie Kategorien frei wählen und Ihre Einwilligung jederzeit widerrufen. Technisch unbedingt erforderliche (notwendige) Cookies können nicht abgewählt werden.

Notwendig (immer aktiv):

z. B. Speicherung Ihrer Consent-Entscheidung (cookie-preferences), Sitzungs- und Sicherheitsfunktionen

Statistik & Analytics (optional):

Microsoft Clarity, ggf. GA4 — Nutzungsmessung und Usability-Optimierung

Marketing (optional):

Meta Pixel, Google Ads, LinkedIn Insight Tag — Kampagnen- und Conversion-Messung

Verwaltung:

Ihre Auswahl wird lokal gespeichert; Anpassung jederzeit über das Cookie-Symbol (unten links).

Einwilligungsverwaltung:

Beachtung der deutschen Einwilligungsverwaltungsverordnung (EinwV, Dez. 2024) — kein „Cookie-Flooding".

Sie haben gegenüber uns umfassende Rechte hinsichtlich Ihrer personenbezogenen Daten. Zur Ausübung genügt eine Nachricht an die oben genannte Kontaktadresse (oder den EU-Vertreter nach Ziffer 2).

Art. 15 — Auskunft:

Bestätigung und Kopie der über Sie verarbeiteten Daten.

Art. 16 — Berichtigung:

Korrektur unrichtiger oder Vervollständigung unvollständiger Daten.

Art. 17 — Löschung („Recht auf Vergessenwerden"):

Löschung, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Art. 18 — Einschränkung:

Einschränkung der Verarbeitung in bestimmten Fällen.

Art. 20 — Datenübertragbarkeit:

Herausgabe Ihrer Daten in einem strukturierten, gängigen Format.

Art. 21 — Widerspruch:

Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen oder für Direktwerbung — letzterer stets ohne Begründung.

Art. 7 Abs. 3 — Widerruf der Einwilligung:

Jederzeit mit Wirkung für die Zukunft (z. B. Cookies oder KI-Funktionen).

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — in dem EU-Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes (Art. 77 DSGVO).

Zuständigkeit:

Für Deutschland z. B. die Landesdatenschutzbehörde Ihres Bundeslandes (für NRW: Landesbeauftragte für Datenschutz NRW).

Hinweis US-Kunden:

Für US-Personen können zudem einzelstaatliche Rechte bestehen; Wyoming verfügt (Stand Juni 2026) über kein umfassendes Landes-Datenschutzgesetz, sondern über sektorielle Regelungen (siehe folgende Ziffer).

Als Verantwortlicher mit Sitz in den USA (Wyoming) unterliegen wir zusätzlich zum europäischen Datenschutzrecht den anwendbaren US-Bundes- und Landesgesetzen. Soweit Daten von Personen in den USA verarbeitet werden, gelten insbesondere:

FTC Act (§ 5):

Bundesrecht — die Federal Trade Commission ahndet unlautere oder irreführende Geschäftspraktiken im Umgang mit personenbezogenen Daten (15 U.S.C. § 45).

COPPA:

Schutz personenbezogener Daten von Kindern unter 13 Jahren (15 U.S.C. §§ 6501 ff.).

Wyoming Consumer Protection Act:

Landesrechtlicher Schutz vor unlauteren Geschäftspraktiken (W.S. § 40-12-101 ff.).

Wyoming Data Breach Notification Act:

Pflicht zur Benachrichtigung Betroffener und des Wyoming Attorney General bei Sicherheitsverletzungen mit personenbezogenen Daten (W.S. § 40-12-501 ff.).

Kein umfassendes Verbraucher-Datenschutzgesetz:

Wyoming verfügt (Stand Juni 2026) über kein der DSGVO vergleichbares, umfassendes Verbraucher-Datenschutzgesetz (im Gegensatz etwa zu Kalifornien/CCPA).

Durchsetzung:

Durch die Federal Trade Commission (FTC) sowie den Wyoming Attorney General.

Wir verarbeiten Daten nach dem Prinzip der Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. b, e DSGVO). Personenbezogene Daten werden nur so lange gespeichert, wie es für den genannten Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorschreiben. Anschließend werden sie gelöscht oder anonymisiert.

Server-Logfiles:

Kurzfristig (Tage bis wenige Wochen) für Sicherheits- und Stabilitätszwecke.

Kontakt-/Anfragedaten:

Bis zur Abschlussbearbeitung, anschließend max. 24 Monate (laufende Prüfung).

Consent-Daten:

Nur lokale Speicherung Ihrer Präferenz auf Ihrem Endgerät (keine serverseitige Consent-Protokollierung).

Wir haben angemessene technische und organisatorische Maßnahmen (TOMs) getroffen, um ein dem Risiko angemessenes Schutzniveau für Ihre Daten zu gewährleisten.

Verschlüsselung:

TLS 1.2/1.3 (HTTPS) für die gesamte Datenübertragung; verschlüsselte E-Mail-Infrastruktur (Proton).

Zugriffskontrolle:

Need-to-know-Prinzip, starke Authentifizierung (MFA), rollenbasierte Rechte.

Sicherung & Verfügbarkeit:

Regelmäßige Backups, Monitoring, isolierte Verarbeitungsumgebungen.

Vertraulichkeit bei Audits:

Bei Code-Audits wird Kundencode auf isolierten Systemen geprüft; NDA möglich; Löschung nach Abschluss.

Unsere Dienste richten sich an Unternehmen und geschäftliche Entscheider und sind nicht für Personen unter 16 Jahren bestimmt. Wir erheben wissentlich keine Daten Minderjähriger. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheits- oder Biometriedaten) verarbeiten wir im Rahmen der Website nicht; wir bitten Sie, solche Daten nicht in Formularen oder KI-Feldern einzugeben.

Zielgruppe:

Unternehmen (B2B), Geschäftsführer, Vertriebs- und IT-Verantwortliche.

Minderjährige:

Keine bewusste Verarbeitung; bei Kenntnisnahme umgehende Löschung.

Personenbezogene Daten werden ausschließlich an die nachfolgend genannten Empfänger oder Empfängerkategorien weitergegeben, soweit dies für die jeweiligen Zwecke erforderlich ist. Eine Weitergabe zu Werbe- oder Handelszwecken an Dritte (Datenverkauf) findet nicht statt.

Hosting/Infrastruktur (Auftragsverarbeitung):

Vercel Inc., USA — Auslieferung & Sicherheit der Website.

KI-/LLM-Dienste:

Anthropic PBC (USA), Google LLC / Google Ireland (Gemini), z.ai / Zhipu AI (GLM) — Verarbeitung freiwilliger Eingaben in KI-Funktionen.

Webanalyse (nur nach Einwilligung):

Microsoft Corporation (Clarity), USA.

E-Mail & Kommunikation:

Proton AG, Schweiz — verschlüsselte E-Mail-Infrastruktur.

Formular-/Webhook-Verarbeitung:

Eigenes Backend / zugelassener Webhook-Dienst zur Anfragebearbeitung.

Rechts-/Zahlungsverkehr:

Nur soweit gesetzlich vorgeschrieben oder zur Rechtsdurchsetzung erforderlich (z. B. Steuerberatung, Finanzamt).

Datenverkauf/Datenhandel:

Ausdrücklich NEIN — Daten werden nicht an Dritte veräußert oder gehandelt.

Eine ausschließlich automatisierte Entscheidung im Einzelfall gemäß Art. 22 DSGVO, die Ihnen gegenüber eine rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Es erfolgt kein Profiling zur Gesichtserkennung, Bonitäts-, Gesundheits- oder Leistungsbeurteilung.

Art. 22 DSGVO:

Keine ausschließlich automatisierten Einzelfall-Entscheidungen mit rechtlicher/Wirkungs-Relevanz.

Profiling:

Keines mit rechtlicher oder beeinträchtigender Wirkung; statistische Auswertungen (z. B. Microsoft Clarity) erfolgen ausschließlich aggregiert/pseudonymisiert und nur nach Einwilligung.

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Die Website ist ohne Anmeldung nutzbar. Angaben in Formularen, Anfragen oder KI-Feldern erfolgen freiwillig.

Freiwilligkeit:

Sämtliche Angaben sind freiwillig.

Folgen der Nichtbereitstellung (Art. 13 Abs. 2 lit. e):

Ohne die betreffenden Daten kann die jeweilige Anfrage nicht bearbeitet oder das Angebot nicht erbracht werden (z. B. keine Kontaktaufnahme ohne E-Mail-Adresse). Sonstige Nachteile entstehen nicht.

Eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 DSGVO) besteht, soweit die Kerntätigkeit umfangreiche Verarbeitung sensibler Daten oder regelmäßige/systematische Überwachung erfordert. Soweit keine entsprechende Pflicht besteht, fungiert die Verantwortliche Stelle selbst als Ansprechpartner.

Datenschutzbeauftragter:

Soweit nicht nach Art. 37 DSGVO zwingend benannt: Ansprechpartner ist die Verantwortliche Stelle (Tresoro LLC).

Kontakt Datenschutz:

office@tresoro-consulting.com (Betreff „Datenschutz").

Auszug aus dem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO (Website & KI-Funktionen). Zweck, Rechtsgrundlage, Datenkategorie, Empfänger und Speicherdauer je Verarbeitung:

Website-Bereitstellung:

Art. 6 Abs. 1 lit. f — IP/Zugriffsdaten — Empfänger: Vercel — Speicherdauer: kurzfristig (Tage bis wenige Wochen).

Kontaktanfragen / Webformulare:

Art. 6 Abs. 1 lit. b — Name, E-Mail, Nachricht — Empfänger: Proton, Webhook — Speicherdauer: bis Abschluss + max. 24 Monate.

KI-Funktionen (Analyse, Quick-Check, Coaching):

Art. 6 Abs. 1 lit. a/b/f — freiwillige Eingaben — Empfänger: Anthropic, Google, z.ai — Speicherdauer: Sitzung/zweckgebunden.

Webanalyse (Microsoft Clarity):

Art. 6 Abs. 1 lit. a — Klick-/Session-/Gerätedaten — Empfänger: Microsoft — Speicherdauer: bis 13 Monate (nur nach Einwilligung).

Consent-Verwaltung:

Art. 6 Abs. 1 lit. a — Einwilligungsstatus — Empfänger: lokal (Ihr Endgerät) — Speicherdauer: 12 Monate.

Diese Datenschutzerklärung wurde mit Sorgfalt auf Grundlage der im Juni 2026 geltenden Rechtslage erstellt (DSGVO, TDDDG, ePrivacy, EU-KI-Verordnung, EU-US Data Privacy Framework, anwendbares US-/Wyoming-Recht). Rechtsentwicklung und Änderungen unserer Dienste vorbehalten. Diese Erklärung stellt keine verbindliche Rechtsberatung dar; für eine prüfungsfeste Einzelfallabsicherung empfehlen wir die zusätzliche Begleitung durch eine Rechtsanwältin / einen Rechtsanwalt oder eine externe Datenschutzbeauftragte / einen externen Datenschutzbeauftragten.

Letzte Aktualisierung:

Juni 2026

Nächste Prüfung:

Bei wesentlichen Rechtsänderungen (insb. CJEU-Entscheidung zum DPF / „Schrems III") oder neuen Diensten.

Weitere rechtliche Angaben finden Sie in unserem Impressum.