Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung — siehe Impressum.

2. Erhobene Daten und Zwecke

Werbechirurg verarbeitet folgende Daten-Kategorien:

• Anmeldedaten (E-Mail, Sitzungen): Anmeldung per persönlichem Link. Rechtsgrundlage Art. 6(1)(b) DSGVO.
• Werbeperformance-Daten (Google Ads, Meta — falls der Kunde Zugriff erteilt hat): Audit-Erstellung im Auftrag des Kunden. Rechtsgrundlage Art. 6(1)(b) DSGVO + AVV.
• Kontaktformular und Diagnose-Anfrage (Name, E-Mail, Mobilnummer, gewünschter Zustellweg des Befunds — E-Mail oder WhatsApp —, optional Rückrufwunsch mit Zeitfenster, Website, Branche, Nachricht sowie die Kampagnenparameter der Seite, über die Sie kamen): Bearbeitung Ihrer Anfrage. Rechtsgrundlage Art. 6(1)(b) DSGVO (vorvertragliche Maßnahmen). Die Angaben werden auf unserem Server gespeichert. Über jede neue Anfrage benachrichtigen wir uns zweifach: per Telegram nur mit Kurzkennung, gewählter Branche und dem Hinweis, ob ein Rückruf gewünscht ist, also ohne Name, E-Mail-Adresse oder Telefonnummer; und per E-Mail an unser internes Postfach mit Ihren Angaben aus dem Formular (Name, E-Mail, bei Rückrufwunsch Telefonnummer und Zeitfenster, Website, Branche, Nachricht, Herkunft der Anfrage). Diese E-Mail wird über Resend versandt und geht an unser Postfach info@werbechirurg.de bei Zoho (siehe Abschnitt 3). Die Mobilnummer nutzen wir für Rückfragen zu Ihrer Anfrage und, wenn Sie das wählen, für die Zustellung des Befunds per WhatsApp (Art. 6 Abs. 1 lit. b DSGVO). Nach dem Absenden bestätigen wir den Eingang per E-Mail.
• Freiwillige Einwilligungen (drei getrennte, nicht vorausgewählte Häkchen: Hinweise und Angebote per E-Mail, per WhatsApp, telefonische Ansprache). Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO; für E-Mail und WhatsApp § 7 Abs. 2 Nr. 2 UWG, für Anrufe § 7 Abs. 2 Nr. 1 UWG. Wir nutzen das Double-Opt-in-Verfahren: Werbung erhalten Sie erst, nachdem Sie die Einwilligung über den Link in unserer Eingangsbestätigung bestätigt haben. Zum Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO) speichern wir Zeitpunkt, Fassung des Einwilligungstextes, Zeitpunkt der Bestätigung und einen pseudonymisierten Kennwert Ihrer IP-Adresse (mit geheimem Schlüssel berechnet, nicht die Adresse im Klartext). Diese Nachweise bewahren wir bis zu drei Jahre nach einem Widerruf auf, Nachweise zur telefonischen Ansprache fünf Jahre (§ 7a UWG). Ohne Einwilligung erhalten Sie nur den Befund und Antworten auf Ihre Fragen. Widerruf jederzeit mit Wirkung für die Zukunft: über den Abmeldelink, mit „STOP“ per WhatsApp oder an info@werbechirurg.de.
• Lead-Daten unserer Kunden (Formulare auf Kundenseiten, falls beauftragt): Weiterleitung im Auftrag des Kunden. Rechtsgrundlage Art. 6(1)(b) DSGVO + AVV mit dem Kunden.
• Server-Logs (IP, User-Agent, Timestamp): Sicherheit und Diagnose. Rechtsgrundlage Art. 6(1)(f) DSGVO. Aufbewahrung 90 Tage.
• Cookie-Daten: notwendige (Session-Cookie); analytics + marketing nur nach Einwilligung über das Cookie-Banner.

3. Dienstleister (Auftragsverarbeiter)

Folgende Dienstleister verarbeiten Daten in unserem Auftrag. Mit ihnen besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) bzw. es gelten deren Auftragsverarbeitungsbedingungen.

• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur — Hosting der Website und der Datenbank in der EU.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA — Auslieferung der Website und Schutz vor Angriffen. Dabei werden IP-Adresse und technische Verbindungsdaten verarbeitet. Rechtsgrundlage Art. 6(1)(f) DSGVO (sicherer, schneller Betrieb). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln.
• Resend (USA) — Versand von Anmelde-Links und System-E-Mails, darunter die interne Benachrichtigung über neue Anfragen mit Ihren Formularangaben. Übermittlung in die USA auf Grundlage von Standardvertragsklauseln.
• Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande — E-Mail-Postfach info@werbechirurg.de (Rechenzentrum in der EU), auch für die interne Benachrichtigung über neue Anfragen.
• WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland — eigenständig Verantwortlicher, nur wenn Sie die Zustellung per WhatsApp wählen oder in Nachrichten per WhatsApp eingewilligt haben. WhatsApp erhält Ihre Mobilnummer, die Nachricht und den Link zum Befund; den Befund selbst senden wir als Link, nicht als Datei. WhatsApp kann Daten in die USA übermitteln (siehe Datenschutzrichtlinie von WhatsApp für den EWR). Wenn Sie das nicht möchten, wählen Sie die Zustellung per E-Mail.
• Anthropic, PBC, San Francisco, USA — KI-gestützte Auswertung im Rahmen von Kundenaufträgen (Audits); Übermittlung auf Grundlage von Standardvertragsklauseln.
• Google Ireland Limited — Webanalyse, nur mit Einwilligung (siehe 4a).

Über neue Anfragen informieren wir uns intern zusätzlich per Telegram. Diese Nachricht enthält nur eine Kurzkennung, die gewählte Branche und den Hinweis, ob ein Rückruf gewünscht ist, aber keinen Namen, keine E-Mail-Adresse und keine Telefonnummer.

4. Cookies (§ 25 TDDDG, früher TTDSG)

Wir verwenden technisch notwendige Cookies (Session-Cookie). Analytics- und Marketing-Cookies setzen wir nur nach Ihrer ausdrücklichen Einwilligung über das Cookie-Banner. Sie können Ihre Einwilligung jederzeit über den Footer-Link Cookie-Einstellungen widerrufen.

4a. Google Analytics 4

Auf dieser Website setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit werten wir aus, welche Seiten aufgerufen werden und über welche Wege Besucher zu uns finden.

Einwilligung erforderlich: Das Analyse-Skript wird erst geladen, nachdem Sie im Cookie-Banner der Kategorie Analyse zugestimmt haben. Ohne Ihre Einwilligung wird weder ein Skript nachgeladen noch ein Cookie gesetzt. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit über den Footer-Link Cookie-Einstellungen mit Wirkung für die Zukunft widerrufen; gesetzte Analyse-Cookies werden dabei gelöscht.

Verarbeitete Daten: gekürzte IP-Adresse, aufgerufene Seiten, Verweildauer, ungefährer Standort (Land/Region), Gerätetyp, Browser sowie die Quelle, über die Sie auf die Website gelangt sind. Wir haben personalisierte Werbung und Werbe-Identifier für diese Property deaktiviert (Google Consent Mode: ad_storage, ad_user_data und ad_personalization bleiben auf denied).

Übermittlung in die USA: Dabei können Daten an Server von Google LLC in den USA übermittelt werden. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; Grundlage der Übermittlung ist ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), ergänzt um Standardvertragsklauseln. Ein Restrisiko des Zugriffs durch US-Behörden lässt sich nicht vollständig ausschließen — deshalb ist der Einsatz ausschließlich einwilligungsbasiert.

Speicherdauer: Ereignisdaten werden nach 14 Monaten automatisch gelöscht. Mit Google besteht ein Vertrag zur Auftragsverarbeitung. Weitere Informationen: Datenschutzerklärung von Google.

5. Ihre Rechte

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16)
• Recht auf Löschung (Art. 17)
• Recht auf Einschränkung (Art. 18)
• Recht auf Datenübertragbarkeit (Art. 20)
• Widerspruchsrecht (Art. 21)
• Beschwerderecht bei der Aufsichtsbehörde (Art. 77) — Berliner Beauftragte für Datenschutz und Informationsfreiheit

6. Aufbewahrungsfristen

Siehe interne Retention-Policy (verfügbar auf Anfrage):

• Audit-Findings: 24 Monate
• Lead-Daten: 12 Monate nach letzter Aktivität
• Server-Logs: 90 Tage
• OAuth-Tokens: Mandat-Lifetime, gelöscht 30 Tage nach Mandat-Ende

7. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein: verschlüsselte Verbindungen (TLS), Trennung der Kundendaten in der Datenbank (Row-Level-Security), Verschlüsselung besonders schutzwürdiger Daten, signierte interne Schnittstellen, Anmeldung nur per persönlichem Link, tägliche Datensicherung mit geprüfter Wiederherstellung, Hosting in der EU.