Datenschutzerklärung

Diese Website verarbeitet personenbezogene Daten nur im notwendigen Umfang. Nachfolgend informieren wir über Art, Umfang und Zweck der Verarbeitung sowie über Ihre Rechte.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO und des TDDDG:
Leon Hoffmann
Bahnhofsstraße 4
14797 Lehnin
E-Mail: hi@leonhoffmann.net

Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht besteht für den Verantwortlichen nicht (Einzelunternehmer ohne umfangreiche oder als Kerntätigkeit ausgeübte Verarbeitung, Art. 37 DSGVO / § 38 BDSG).

2. Verarbeitung im Einzelnen

Jeder Abschnitt nennt Zweck, Rechtsgrundlage, Empfänger, etwaigen Drittlandtransfer und Speicherdauer. Zu Ihren Rechten siehe Abschnitt 5, zum Drittlandtransfer in die USA Abschnitt 7.

2.1 Hosting und Server-Logfiles

• Zweck: Auslieferung der Website, Stabilität und Sicherheit des Betriebs.
• Verarbeitete Daten: IP-Adresse, Zeitstempel, User-Agent, Referrer, aufgerufene Seiten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer technisch fehlerfreien und sicheren Bereitstellung).
• Empfänger: Vercel Inc., USA (Hosting, Auftragsverarbeiter).
• Drittland: USA. Transfergrundlage: EU-US Data Privacy Framework (Art. 45 DSGVO); Vercel ist DPF-zertifiziert (DoC-ID 6847), ergänzend Standardvertragsklauseln.
• Speicherdauer: Runtime-Logs werden im genutzten Vercel-Pro-Plan 1 Tag gespeichert; Build-Logs werden je Deployment vorgehalten.

2.2 Reichweitenmessung (Web Analytics, cookielos)

• Zweck: aggregierte, anonymisierte Messung der Seitennutzung zur Verbesserung des Angebots. Aktiv nur in der Produktionsumgebung.
• Verarbeitete Daten: Seitenaufrufe sowie technische Rahmendaten des Aufrufs (u. a. Referrer, ungefähre Herkunftsregion, Geräte- und Browsertyp). Die Messung kommt ohne Cookies aus und legt keine Kennung auf dem Endgerät ab; eine geräte- oder websiteübergreifende Wiedererkennung einzelner Besucher oder ein Fingerprinting findet nicht statt. Die IP-Adresse wird nur vorübergehend zur Auswertung verarbeitet und nicht zur Identifizierung gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (bedarfsgerechte Gestaltung der Website). Da kein Identifier auf dem Endgerät gespeichert oder ausgelesen wird, ist hierfür keine Einwilligung nach § 25 TDDDG erforderlich.
• Empfänger / Drittland: Cloudflare, Inc., USA (Cloudflare Web Analytics, Auftragsverarbeiter). Transfergrundlage: EU-US Data Privacy Framework (Art. 45 DSGVO); Cloudflare ist DPF-zertifiziert (DoC-ID 5666).
• Speicherdauer: Cloudflare hält die aggregierten Auswertungen für einen begrenzten Zeitraum vor; personenbezogene Roh-Identifier werden nicht dauerhaft gespeichert.

2.3 KI-Chat

• Zweck: Beantwortung von Besucheranfragen über einen KI-gestützten Chat.
• Verarbeitete Daten: der frei eingegebene Chat-Text. Bitte geben Sie keine personenbezogenen oder vertraulichen Informationen in den Chat ein.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Chat-Funktion).
• Empfänger: Produktiv eingesetzt wird Anthropic, PBC, USA; je nach serverseitiger Konfiguration kann alternativ ein OpenAI-kompatibler Anbieter (z. B. OpenAI, USA) zum Einsatz kommen. Der jeweilige Anbieter verarbeitet die eingegebenen Chat-Inhalte ausschließlich zur Bereitstellung der Chat-Funktion nach Maßgabe der vereinbarten Datenverarbeitungsbedingungen.
• Drittland: USA. Weder Anthropic noch ein etwaiger OpenAI-kompatibler Anbieter (OpenAI) ist unter dem DPF gelistet; die Übermittlung stützt sich auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Speicherdauer: Die Speicherdauer richtet sich nach dem eingesetzten Anthropic-Produkt, Modell und den vereinbarten Datenverarbeitungsbedingungen; eine Nutzung zu Trainingszwecken erfolgt bei kommerzieller API-Nutzung nicht ohne ausdrückliche Freigabe.

2.4 Sprachausgabe (Text-to-Speech)

• Zweck: Vorlesen der Chat-Antworten als Sprache.
• Verarbeitete Daten: der vorzulesende Antworttext sowie die daraus generierte Audioausgabe.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (komfortable, barrierearme Ausgabe).
• Empfänger: ElevenLabs, USA (Auftragsverarbeiter).
• Drittland: USA. Transfergrundlage: EU-US Data Privacy Framework (Art. 45 DSGVO); ElevenLabs ist DPF-zertifiziert (DoC-ID 9996).
• Speicherdauer: Die Speicherdauer richtet sich nach dem eingesetzten ElevenLabs-Setup; eine dauerhafte Speicherung der Audioausgabe ist nicht bezweckt.
• Hinweis: Diese Funktion ist optional und derzeit nicht aktiviert; eine Übermittlung an ElevenLabs findet erst statt, sobald die Sprachausgabe aktiviert wird.

2.5 Spracherkennung — serverseitiger Fallback

• Zweck: Umwandlung gesprochener Eingaben in Text, wenn die browsereigene Spracherkennung (2.6) nicht verfügbar ist.
• Verarbeitete Daten: die aufgenommene Audioaufnahme.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; die Sprachfunktion wird nur durch aktive Bedienung ausgelöst (siehe Abschnitt 6).
• Empfänger: OpenAI, USA (Whisper, Auftragsverarbeiter).
• Drittland: USA. OpenAI ist nicht unter dem DPF gelistet; die Übermittlung stützt sich auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Speicherdauer: OpenAI speichert API-Daten bis zu 30 Tage zur Missbrauchserkennung und löscht sie danach, soweit keine endpoint- oder gesetzlich bedingten Ausnahmen greifen; kein Training auf API-Daten.
• Hinweis: Dieser serverseitige Fallback ist optional und derzeit nicht aktiviert; eine Übermittlung an OpenAI (Whisper) findet erst statt, sobald der Fallback aktiviert wird. Im Standardpfad (2.6) verbleibt die Verarbeitung beim Browser-Hersteller.

2.6 Spracherkennung — Standardpfad (Web Speech API)

• Zweck: Umwandlung gesprochener Eingaben in Text über die vom Browser bereitgestellte Web Speech API.
• Ablauf: Die Erkennung wird vom Browser gesteuert; je nach Browser erfolgt sie lokal auf dem Endgerät oder serverbasiert durch den Browser-Hersteller. Dabei kann Audio direkt an den jeweiligen Browser-Hersteller (insbesondere Google oder Apple, USA) übermittelt werden. Diese Übertragung läuft nicht über den Server des Verantwortlichen; ein Auftragsverarbeitungsvertrag mit dem Browser-Hersteller ist nicht möglich.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der optionalen Sprachbedienung); die clientseitige Verarbeitung durch den Browser-Hersteller liegt in dessen Verantwortung.
• Hinweis: Die Sprachfunktion ist optional und wird nur durch aktive Bedienung (Push-to-Talk) ausgelöst. Es gelten zusätzlich die Datenschutzbestimmungen des Browser-Herstellers. Näheres in Abschnitt 6.

2.7 Versand des Gesprächstranskripts per E-Mail

• Zweck: Auf ausdrücklichen Wunsch des Besuchers Übermittlung des Chat-Transkripts an den Verantwortlichen (nicht an den Besucher).
• Verarbeitete Daten: das gesamte Gesprächstranskript sowie ggf. eine vom Besucher angegebene E-Mail-Adresse, die ausschließlich als Antwortadresse (Reply-To) verwendet wird.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Auslösen des Versands); Widerruf siehe Abschnitt 5.
• Empfänger: Resend, USA (E-Mail-Versand, Auftragsverarbeiter); Zustellung an das Postfach des Verantwortlichen.
• Drittland: USA. Transfergrundlage: EU-US Data Privacy Framework (Art. 45 DSGVO); Resend ist DPF-zertifiziert (DoC-ID 8907).
• Speicherdauer: Versand-Daten/Backups bei Resend werden bis zu 30 Tage vorgehalten. Die zugestellte Nachricht wird im Postfach des Verantwortlichen so lange aufbewahrt, wie es zur Bearbeitung der Anfrage und einer etwaigen daraus entstehenden Geschäftsbeziehung erforderlich ist, und anschließend gelöscht; gesetzliche Aufbewahrungspflichten sowie die Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen bleiben unberührt.

2.8 Auswertung von Chat-Sitzungen zur Qualitätssicherung

• Zweck: Sicherung und Verbesserung der Qualität des KI-Chats.
• Verarbeitete Daten: Inhalte von Chat-Sitzungen sowie eine anonyme Sitzungskennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Qualitätssicherung und Verbesserung des Angebots). Zum Widerspruchsrecht siehe Abschnitt 5.
• Empfänger: Upstash, Inc., USA (Speicherung); Resend, USA (interne Benachrichtigung).
• Drittland: USA. Upstash ist DPF-zertifiziert (DoC-ID 9423), Resend ebenfalls (DoC-ID 8907).
• Speicherdauer: Die in Upstash gespeicherten Sitzungsdaten werden nach dem automatisierten Versand gelöscht, spätestens nach 2 Tagen. Die per E-Mail an den Verantwortlichen versandte Kopie wird im Postfach nach denselben Kriterien wie in 2.7 aufbewahrt.

2.9 Betriebsfehler-Benachrichtigungen

• Zweck: technische Überwachung; Benachrichtigung des Verantwortlichen bei Backend-Fehlern.
• Verarbeitete Daten: ausschließlich Fehlermeldungen bzw. Statuscodes der Dienste — keine Besucherdaten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit).
• Empfänger / Drittland: Resend, USA; Upstash, USA; Transfergrundlage DPF (Art. 45), siehe Übersicht in Abschnitt 7.

2.10 Missbrauchsabwehr (Rate-Limiting & Bot-Erkennung)

• Zweck: Schutz der API-Funktionen (insb. Chat) vor Missbrauch, Überlastung und automatisierten Anfragen.
• Verarbeitete Daten: IP-Adresse (für eine kurzzeitige Anfrage-Zählung pro IP) sowie technische Merkmale der Anfrage zur Bot-Erkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebs- und Kostensicherheit sowie Schutz vor Missbrauch).
• Empfänger: Upstash, Inc., USA (Zählerspeicher für das Rate-Limiting); Vercel Inc., USA (Bot-Erkennung, BotID).
• Drittland: USA; DPF (Art. 45) — Upstash (DoC-ID 9423), Vercel (DoC-ID 6847).
• Speicherdauer: Die IP-basierten Zähler laufen automatisch nach kurzer Zeit ab (Zeitfenster im Minutenbereich); eine darüber hinausgehende Speicherung der IP zu diesem Zweck erfolgt nicht.

3. Hinweis zur Verarbeitung durch KI

Dieser Dienst stellt eine Interaktion mit einem KI-System bereit. Bei der Nutzung des Chats wird der eingegebene Text zur Generierung der Antwort an den in 2.3 genannten Anbieter (USA) übermittelt; bei der Sprachfunktion gelten zusätzlich 2.4 bis 2.6. Zweck ist allein die Beantwortung der Anfrage. Bitte geben Sie keine personenbezogenen oder vertraulichen Informationen ein.

4. Keine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO)

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-Funktionen dienen ausschließlich der Beantwortung von Anfragen und der Sprachein- und -ausgabe.

5. Rechte der betroffenen Person

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21).

Soweit eine Verarbeitung auf Einwilligung beruht (Abschnitt 2.7), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Es besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77). Zuständig für den Verantwortlichen ist:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77, 14532 Kleinmachnow
Telefon: 033203/356-0 · E-Mail: Poststelle@LDA.Brandenburg.de · www.lda.brandenburg.de

Sie können sich auch an die Aufsichtsbehörde Ihres üblichen Aufenthaltsorts wenden. Zur Ausübung Ihrer Rechte genügt eine Nachricht an die in Abschnitt 1 genannte Adresse.

6. Sprachfunktion — gesonderte Offenlegung

Die Sprachfunktion ist optional und wird nur durch aktive Bedienung (Push-to-Talk) ausgelöst.

Im Standardpfad (2.6) wird die Spracherkennung vom Browser gesteuert und erfolgt je nach Browser lokal auf dem Endgerät oder serverbasiert beim Browser-Hersteller; dabei kann das Audio direkt an den Browser-Hersteller (Google/Apple, USA) übermittelt werden, auf den der Verantwortliche keinen Einfluss hat und mit dem kein Auftragsverarbeitungsvertrag besteht. Steht dieser Pfad nicht zur Verfügung, greift der serverseitige Fallback (2.5) über OpenAI Whisper. Die Aufnahmen werden ausschließlich zur Umwandlung in Text verarbeitet und nicht zur biometrischen Identifizierung verwendet; eine Verarbeitung besonderer Datenkategorien im Sinne des Art. 9 DSGVO ist damit nicht bezweckt.

7. Drittlandtransfer in die USA — Überblick

Mehrere der eingesetzten Dienstleister sitzen in den USA. Übermittlungen stützen sich, je nach Anbieter, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO) oder auf Standardvertragsklauseln (Art. 46 DSGVO). US-Anbieter können zudem US-amerikanischen Gesetzen (z. B. dem CLOUD Act) unterliegen.

Auf Anfrage stellen wir, soweit verfügbar, eine Kopie der für die Übermittlung herangezogenen Garantien (z. B. Standardvertragsklauseln) bereit.

8. Cookies und Endgeräte-Speicher

Es werden keine Tracking-Cookies gesetzt; die Reichweitenmessung (Abschnitt 2.2) arbeitet cookielos und legt keine Kennung auf dem Endgerät ab. Für die Auswertung von Chat-Sitzungen (Abschnitt 2.8) wird eine anonyme Sitzungskennung im sessionStorage des Browsers abgelegt; diese dient der Qualitätssicherung des Chats und ist für die bloße Nutzung der Website nicht zwingend erforderlich. Zusätzlich wird für den einmaligen Datenschutzhinweis ein technischer Merker im localStorage gespeichert, damit der Hinweis nach dem Ausblenden nicht erneut erscheint; dieser enthält keine personenbezogenen Daten und ist für die vom Nutzer ausgelöste Ausblendung im Sinne des § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich.

9. Bereitstellung der Daten

Die Bereitstellung personenbezogener Daten ist grundsätzlich freiwillig. Für den Aufruf der Website sind technische Zugriffsdaten erforderlich; ohne diese kann die Website nicht ausgeliefert werden. Die Nutzung des Chats, der Sprachfunktion und des Transkriptversands ist freiwillig; ohne Eingabe der jeweiligen Daten können diese Funktionen nicht bereitgestellt werden.

Stand: Juni 2026.