Privacy policy

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:
DropDigital GmbH i.G.
An der Pönt 44, 40885 Ratingen, Deutschland
vertreten durch die Geschäftsführer Lucas Koch und Can Tillmann
E-Mail: lucas@dropdigital.de
Telefon: +49 163 302 2575

Ein Datenschutzbeauftragter ist nicht bestellt, weil die gesetzlichen Voraussetzungen (§ 38 BDSG, Art. 37 DSGVO) nicht vorliegen. Für alle Fragen zum Datenschutz erreichen Sie uns unter lucas@dropdigital.de.

Marke / Projekt: DropD. (Dropdigital), siehe Impressum.

2. Das Wichtigste in Kürze

• Vor Ihrer Einwilligung lädt diese Website keinen Statistik-, Werbe- oder Mediendienst. Kein Skript von Google, Microsoft oder Meta wird ohne Ihr Ja geladen.
• Unsere Server stehen in Deutschland. US-Dienste nutzen wir für den E-Mail-Versand, den Bot-Schutz, die Terminbuchung und, nur nach Einwilligung, für Statistik und Anzeigen. Welche das sind, steht in Abschnitt 16.
• Wir verkaufen keine Daten, betreiben kein Profiling und treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung.
• Jede Einwilligung können Sie jederzeit widerrufen, jeder Verarbeitung aus berechtigtem Interesse widersprechen (Abschnitt 19).

3. Hosting, Server-Logfiles und Sicherheit

Diese Website läuft auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; die Daten verlassen dabei die Europäische Union nicht.

Bei jedem Aufruf verarbeitet der Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Statuscode, die zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem. Zweck ist der sichere und stabile Betrieb, die Abwehr von Angriffen und die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in genau diesem Betrieb. Logfiles werden spätestens nach 30 Tagen gelöscht und nicht mit anderen Daten zusammengeführt.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen pro IP-Adresse an unsere Formulare und Schnittstellen. Der Zähler dafür liegt nur im Arbeitsspeicher, wird nirgends dauerhaft gespeichert und verfällt spätestens nach 24 Stunden.

Die Übertragung ist durchgehend TLS-verschlüsselt (HTTPS mit HSTS). Schriften liefern wir vom eigenen Server aus, es werden keine Schriften von Google Fonts nachgeladen.

4. Cookies und lokale Speicherung auf Ihrem Gerät

Ohne Ihre Einwilligung speichern wir auf Ihrem Gerät nur, was für den von Ihnen gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG):

Alles Weitere, also Statistik, Anzeigen-Messung und externe Medien, setzen wir ausschließlich nach Ihrer Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Cookies dieser Dienste (zum Beispiel _ga, _gid, _clck, _clsk, _fbp, _fbc) entstehen erst mit Ihrem Ja und werden bei einem Widerruf von uns wieder gelöscht.

5. Einwilligung, Widerruf und Nachweis

Beim ersten Besuch fragt unser Banner getrennt nach drei Zwecken: externe Medien, Statistik und Marketing. Ablehnen ist auf derselben Ebene möglich wie Akzeptieren, und nichts ist vorausgewählt. Ihre Auswahl ändern oder widerrufen Sie jederzeit über den Link „Cookie-Einstellungen“ im Footer, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Nach einem Widerruf laden wir die betroffenen Dienste nicht mehr und löschen die zugehörigen Cookies.

Um Ihre Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen zu können, protokollieren wir jede Entscheidung mit Zeitpunkt, den gewählten Zwecken, der Version dieser Erklärung und der zufälligen Kennung aus Abschnitt 4. Wir speichern dabei ausdrücklich keine IP-Adresse und keine Browser-Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht). Der Nachweis wird drei Jahre ab der jeweiligen Entscheidung aufbewahrt.

6. Statistik und Anzeigen-Messung (nur nach Einwilligung)

Statistik: Mit Ihrer Einwilligung messen wir über Google Analytics 4 (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) und Microsoft Clarity (Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin 18, Irland), welche Seiten gelesen werden, wie weit gescrollt wird und wo Besucher abbrechen. IP-Adressen werden dabei gekürzt verarbeitet. Beide Anbieter können Daten in die USA übermitteln (Google LLC, Microsoft Corporation), siehe Abschnitt 17.

Anzeigen-Messung: Mit Ihrer Einwilligung übermitteln wir an Meta (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland) und Google Ads (Google Ireland Ltd.), ob eine Anfrage über eine unserer Anzeigen zustande kam. Beide können daraus Zielgruppen bilden und Daten in die USA übermitteln.

Google Tag Manager und Consent Mode: Die genannten Dienste laden wir über den Google Tag Manager (Google Ireland Ltd.), der selbst erst nach Ihrer Einwilligung geladen wird. Für alle Google-Dienste setzen wir den Consent Mode v2 in der Grundeinstellung ein: Ohne Ihr Ja wird kein Google-Skript geladen, es gehen also auch keine cookielosen Signale an Google.

Rechtsgrundlage ist jeweils Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Diese Dienste sind nur aktiv, soweit wir sie für die Website konfiguriert haben; ohne Einwilligung werden sie in keinem Fall geladen.

7. Externe Medien (YouTube)

Im Bereich „Wissen“ binden wir Videos von YouTube im erweiterten Datenschutzmodus (youtube-nocookie.com, Google Ireland Ltd.) ein. Das Video wird erst geladen, wenn Sie der Kategorie „Externe Medien“ zugestimmt oder auf „Load video“ geklickt haben. Erst dann erhält YouTube Ihre IP-Adresse und setzt eigene Cookies; eine Übermittlung in die USA (Google LLC) ist möglich. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

8. Bot-Schutz (Cloudflare Turnstile)

Unsere Formulare sind mit Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA) gegen automatisierte Eingaben geschützt. Das Skript wird nur auf Seiten mit Formular geladen. Bei der Prüfung verarbeitet Cloudflare Ihre IP-Adresse und technische Browser-Merkmale und kann ein technisch notwendiges Token setzen; ein Rätsel müssen Sie in der Regel nicht lösen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil die Prüfung für das von Ihnen gewünschte Absenden des Formulars erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO (Abwehr von Spam und Missbrauch). Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist wie in Abschnitt 17 beschrieben abgesichert.

9. Anfragen über unsere Formulare

Je nach Formular verarbeiten wir die Daten, die Sie dort angeben:

• Strategiegespräch (/beratung und /termin): Sie wählen auf dieser Website einen freien Slot. Wir verarbeiten Name, E-Mail, Unternehmen und den gewählten Termin, legen ihn in unserem Google-Kalender an und senden eine Einladung mit Google-Meet-Link. Die Angebots-Cards nutzen denselben Kalender. /vor-ort bleibt ein Formular: Name, E-Mail, Unternehmen, Teamgröße, optional Telefon, Nachricht und der Ort Ihres Betriebs.
• Rückruf per WhatsApp (/anfrage): Unternehmen, Name, WhatsApp-Nummer, optional Nachricht, siehe Abschnitt 10.
• KI-Werkstatt (/ki-schulung): Name, Unternehmen, E-Mail, optional Telefon und Nachricht.
• Bewerbungen (/karriere): siehe Abschnitt 14.

Zweck ist die Bearbeitung Ihrer Anfrage und die Vorbereitung eines Gesprächs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage), für die Zuordnung zu einer Anzeige und die interne Organisation Art. 6 Abs. 1 lit. f DSGVO. Die Angabe ist freiwillig; ohne Name und einen Kontaktkanal können wir die Anfrage aber nicht bearbeiten. Zusätzlich speichern wir bei jedem Formular unsichtbar den Zeitpunkt, zu dem Sie es geöffnet haben, und ein leeres Kontrollfeld, beides nur zur Erkennung von Bots.

Ihre Anfrage erreicht uns als E-Mail (Abschnitt 11) und wird zusätzlich in unserem internen CRM-System „dropd OS“ abgelegt, das wir selbst auf Servern der Hetzner Online GmbH in Deutschland betreiben. Nach dem Absenden erhalten Sie eine Eingangsbestätigung; sie kann einen persönlichen Link zu einem kurzen Vorbereitungsfragebogen auf unseren eigenen Systemen enthalten, in dem Ihre Angaben bereits eingetragen sind.

Anfragen, aus denen kein Vertrag entsteht, löschen wir 12 Monate nach dem letzten Kontakt. Kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (Abschnitt 18).

10. Rückruf per WhatsApp

Wenn Sie über /anfrage einen Rückruf per WhatsApp wünschen und dem per Häkchen zustimmen, kontaktieren wir Sie über WhatsApp Business (WhatsApp Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland, ein Unternehmen von Meta). Dabei erhält Meta Ihre Telefonnummer und die Metadaten der Kommunikation (Zeitpunkt, Gerät); die Nachrichteninhalte sind Ende-zu-Ende-verschlüsselt. Eine Übermittlung in die USA ist möglich (Abschnitt 17). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können, zum Beispiel mit einer Nachricht an uns. Danach nutzen wir für die weitere Kommunikation E-Mail oder Telefon.

11. E-Mail-Versand und Postfach

Formularanfragen, Eingangsbestätigungen und den Newsletter versenden wir über Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Resend verarbeitet dafür die Empfängeradresse und den Inhalt der jeweiligen E-Mail. Unser eigenes E-Mail-Postfach betreibt Google Ireland Ltd. (Google Workspace). Mit beiden Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; die Übermittlung in die USA ist wie in Abschnitt 17 beschrieben abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die zuverlässige Zustellung Art. 6 Abs. 1 lit. f DSGVO.

12. Terminbuchung (Google Calendar und Google Meet)

Über /beratung, /termin, die Angebots-Cards können Sie ein kostenloses Strategiegespräch buchen. Wir verarbeiten dazu Name, E-Mail-Adresse, Unternehmen und den gewählten Termin, legen in unserem Google-Kalender einen Termin an und senden Ihnen eine Einladung mit Google-Meet-Link. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (effiziente Terminorganisation).

Anbieter ist Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Google Workspace); eine Übermittlung in die USA (Google LLC) ist möglich und wie in Abschnitt 17 beschrieben abgesichert. Mit Google besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Freie Zeiten fragt die Website ohne Ihre Daten ab; erst die Buchung übermittelt Ihre Angaben.

13. Newsletter (KI-Radar)

Wenn Sie den KI-Radar anfordern, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen Einschätzungen und Praxisbeispiele zu KI im Mittelstand zu senden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Wir nutzen das Double-Opt-in-Verfahren: Nach der Eingabe erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst mit dem Klick darauf nehmen wir Ihre Adresse in den Verteiler auf; der Link ist 24 Stunden gültig. Zum Nachweis speichern wir den Zeitpunkt der Anmeldung und der Bestätigung.

Den Verteiler führen wir bei Resend, Inc. (USA, siehe Abschnitt 11); Ihre Adresse wird dort als Kontakt in einem thematischen Segment geführt. Wir nutzen Ihre Adresse nicht für andere Zwecke, geben sie nicht zu Werbezwecken weiter und nutzen sie nicht zum Training von KI-Modellen.

Abmelden können Sie sich jederzeit über den Link in jeder Ausgabe oder formlos an lucas@dropdigital.de, ohne andere Kosten als die Übermittlungskosten nach den Basistarifen. Nach der Abmeldung behalten wir nur einen Sperrvermerk mit Ihrer Adresse, damit wir Sie nicht erneut anschreiben (Art. 6 Abs. 1 lit. f DSGVO).

14. Bewerbungen (/karriere)

Wenn Sie sich bei uns bewerben, verarbeiten wir Name, E-Mail-Adresse, optional Telefon, die Position, Ihre Nachricht und, falls hochgeladen, Ihren Lebenslauf als PDF, um das Bewerbungsverfahren durchzuführen. Rechtsgrundlage ist § 26 Abs. 1 BDSG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO. Besondere Kategorien von Daten (etwa Gesundheit) müssen Sie uns nicht mitteilen.

Die Bewerbung erreicht uns als E-Mail (Abschnitt 11); der Lebenslauf wird als Anhang durchgereicht und nicht in einem weiteren System gespeichert. Nach Abschluss des Verfahrens löschen wir die Unterlagen spätestens nach sechs Monaten, es sei denn, wir brauchen sie zur Abwehr von Ansprüchen (§ 15 AGG) oder Sie haben einer längeren Aufbewahrung für künftige Stellen zugestimmt.

16. Empfänger und Auftragsverarbeiter

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff, die Ihre Anfrage bearbeiten. Daneben setzen wir folgende Dienstleister ein, mit denen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen:

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder Sie eingewilligt haben.

17. Übermittlung in Drittländer

Einige der genannten Anbieter sitzen in den USA oder übermitteln Daten dorthin. Die Übermittlung stützen wir auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen wie Verschlüsselung und, soweit der jeweilige Anbieter zertifiziert ist, zusätzlich auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO). Wir weisen darauf hin, dass der Angemessenheitsbeschluss gerichtlich überprüft wird und dass in den USA ein Zugriff staatlicher Stellen auf Daten nicht in jedem Fall ausgeschlossen werden kann.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

19. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Sie können einer Verarbeitung, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen, jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Einer Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; wir verarbeiten Ihre Daten dann nicht mehr zu diesen Zwecken.

Für alle Anliegen genügt eine formlose E-Mail an lucas@dropdigital.de. Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, www.ldi.nrw.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

20. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Anfragen, Bewerbungen und Angebote bearbeiten Menschen.

21. Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich die Website, unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Datum steht oben auf dieser Seite.