DATENSCHUTZERKLÄRUNG

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Marco Röder
Hohenzollernstr. 124–126
41061 Mönchengladbach

E-Mail: moin@marcoroeder.de

2. Hosting und Server-Logfiles

Die Website und das Kundenportal laufen auf einer selbst betriebenen Odoo-Instanz auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Der Serverstandort ist Nürnberg (Deutschland). Mit Hetzner besteht ein Vertrag über die Auftragsverarbeitung.

Beim Aufruf der Website verarbeitet der Server automatisch technische Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browser und Betriebssystem sowie gegebenenfalls die zuvor aufgerufene Website (Referrer). Das ist erforderlich, um die Website auszuliefern und ihre Sicherheit zu gewährleisten, etwa zur Abwehr von Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und stabilen Betrieb. Logdaten werden nach 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

Zum Schutz vor Angriffen werten Fail2ban und CrowdSec auffällige Zugriffe aus; diese Sicherheitsprotokolle werden bis zu fünf Wochen aufbewahrt. CrowdSec kann IP-Adressen, die im Zusammenhang mit erkannten Sicherheitsereignissen stehen, zusammen mit Angaben zum Zeitpunkt und zur Art des Ereignisses an die CrowdSec SAS (Frankreich) übermitteln, die sie zur Pflege gemeinschaftlicher Sperrlisten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt im Schutz meiner IT-Systeme vor Angriffen.

3. Reichweitenmessung

Um zu sehen, wie oft meine Website aufgerufen wird, nutze ich Umami, das ich selbst auf meinem Server bei Hetzner in Nürnberg betreibe (stats.marcoroeder.de). Umami setzt keine Cookies, speichert keine IP-Adressen und erstellt keine Nutzerprofile; Besuche lassen sich nicht über mehrere Tage hinweg einer Person zuordnen. Erfasst werden nur zusammengefasste Angaben wie aufgerufene Seite, Herkunftsseite (Referrer), gegebenenfalls in Links enthaltene Kampagnenparameter (UTM), Browser, Betriebssystem, Gerätetyp und Land. Die Daten verlassen meinen Server nicht und werden nicht an Dritte weitergegeben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt darin, die Nutzung meiner Website datensparsam auszuwerten und mein Angebot zu verbessern.

4. Cookies

Die Website verwendet ausschließlich essenzielle Cookies: „session_id“ für Sitzung und Anmeldung (ohne dieses Cookie funktionieren Login und Kundenportal nicht), „frontend_lang“ für die gewählte Sprache und „tz“ für die Zeitzone. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; eine Einwilligung ist dafür nicht erforderlich.

Optionale Cookies, etwa für Analyse, Werbung oder Livechat, sowie eingebettete Inhalte von Drittanbietern setze ich nicht ein; die Reichweitenmessung (Abschnitt 3) kommt ohne Cookies aus. Schriftarten werden von meinem eigenen Server geladen.

Sie können Cookies in Ihrem Browser jederzeit löschen oder blockieren; die Nutzung des Kundenportals ist dann eingeschränkt.

5. Kundenportal und Login

Kunden erhalten Zugang zu einem Kundenportal. Dort können Sie Angebote einsehen und bestätigen, Rechnungen abrufen sowie Projekte und Aufgaben verfolgen. Dabei verarbeite ich Ihre E-Mail-Adresse, Authentifizierungsdaten (Passwort-Hash, ggf. Zwei-Faktor-Daten), Ihre Kontaktdaten sowie die im Portal angezeigten Vertrags- und Projektdaten. Bei einer Online-Bestätigung von Angeboten speichere ich Name, Signatur und Zeitpunkt der Bestätigung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist. Bei Ansprechpartnern und Beschäftigten meiner Geschäftskunden erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt in der Durchführung und Verwaltung der Geschäftsbeziehung. Nach Ende der Geschäftsbeziehung wird der Portalzugang deaktiviert. Die zugrunde liegenden Vertrags-, Rechnungs- und Projektdaten bleiben gespeichert, soweit gesetzliche Aufbewahrungspflichten bestehen oder sie zur Abwehr von Ansprüchen erforderlich sind (siehe Abschnitt 10).

6. Kontaktaufnahme, Terminbuchung und Online-Meetings

Wenn Sie mich per E-Mail oder Telefon kontaktieren, verarbeite ich Ihre Angaben (z. B. Name, Firma, Kontaktdaten, Inhalt der Anfrage), um die Anfrage zu beantworten. Geschäftliche Kontaktdaten übernehme ich in mein CRM (Odoo) und mein Adressbuch (Google Kontakte).

Termine können Sie über die Online-Terminbuchung auf meiner Website vereinbaren. Dabei verarbeite ich Name, E-Mail-Adresse, ggf. Telefonnummer und Firma, den gewünschten Termin sowie ggf. Ihre Nachricht bzw. Ihre Antworten auf die Buchungsfragen. Die Terminbuchung läuft über meine selbst betriebene Odoo-Instanz (siehe Abschnitt 2). Bestätigungen und Erinnerungen erhalten Sie per E-Mail. Gebuchte Termine werden mit meinem Google-Kalender synchronisiert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartei sind oder werden wollen, im Übrigen – insbesondere bei Ansprechpartnern von Unternehmen – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen und der Pflege von Geschäftskontakten). E-Mails verarbeite ich über Google Workspace.

Ein- und ausgehende E-Mails archiviere ich vollständig in einem selbst betriebenen E-Mail-Archiv (Speicherort: Hetzner Object Storage, Falkenstein), da sich aufbewahrungspflichtige Geschäftsbriefe und Belege nicht zuverlässig automatisiert von anderen E-Mails trennen lassen. Die Aufbewahrung beträgt acht Jahre (§ 147 AO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO für aufbewahrungspflichtige E-Mails, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer vollständigen, nachvollziehbaren Dokumentation).

Online-Meetings führe ich über Google Meet (Google Workspace, siehe Abschnitt 9) durch. Dabei werden insbesondere Name, E-Mail-Adresse, Meeting-Metadaten (z. B. Datum, Uhrzeit, Dauer, Teilnehmende), Audio- und Videodaten sowie Chat-Inhalte verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit das Meeting der Anbahnung oder Durchführung eines Vertrags mit Ihnen dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation mit Geschäftskontakten).

Wenn alle Teilnehmenden ausdrücklich zustimmen, erstelle ich mit der Transkriptionsfunktion von Google Meet ein Transkript des Gesprächs. Aus dem Transkript erstelle ich anschließend mit Unterstützung des KI-Assistenten Claude (Anthropic, siehe Abschnitte 8 und 9) eine Zusammenfassung. Transkript und Zusammenfassung dienen der Dokumentation und Nachbereitung des Gesprächs. Auf Wunsch stelle ich die Zusammenfassung den Teilnehmenden als Gesprächsprotokoll zur Verfügung. Die Transkription starte ich erst, nachdem ich zu Beginn des Meetings die Zustimmung aller Teilnehmenden eingeholt habe. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Transkription beende ich dann ab diesem Zeitpunkt. Ohne Einwilligung findet das Gespräch ohne Transkript und Zusammenfassung statt.

7. Vertragsabwicklung und Buchhaltung

Für Angebote, Aufträge, Zeiterfassung, Rechnungen und Zahlungsabgleich verarbeite ich Stamm-, Vertrags- und Zahlungsdaten meiner Kunden und deren Ansprechpartner in Odoo. Kontoumsätze meines Geschäftskontos bei der N26 Bank SE werden über die Bank-Synchronisation von Odoo in die Buchhaltung übernommen. Odoo setzt hierfür je nach Bankverbindung externe Kontoinformations- bzw. Bank-Synchronisationsdienste ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist, bei Ansprechpartnern meiner Geschäftskunden Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung der Geschäftsbeziehung) sowie Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung steuerrechtlicher Pflichten.

8. KI-Dienste und Automatisierung

Ich setze KI-gestützte Werkzeuge ein, um effizienter zu arbeiten:

• Bearbeitung von Anfragen und Aufgaben: Eingehende E-Mails und Sprachnotizen können automatisiert zusammengefasst, transkribiert und in Aufgaben überführt werden.
• Pflege von Geschäftskontakten: Aus eingehenden E-Mails werden die Kontaktdaten der Signatur (Name, Firma, Telefon, Adresse, Website) automatisiert ausgelesen; dazu wird der Text der E-Mail in gekürzter Form an OpenAI übermittelt. Daten aus externen Quellen werden nicht hinzugezogen. In mein Adressbuch übernehme ich einen Kontakt erst nach manueller Prüfung.
• Fachliche Unterstützung: bei der Analyse von Fragestellungen und der Entwicklung von Lösungen.
• Gesprächsnotizen: Transkripte von Online-Meetings werden mit Ihrer Einwilligung mithilfe von Claude (Anthropic) zusammengefasst (siehe Abschnitt 6).

Die Automatisierung läuft über eine selbst betriebene n8n-Instanz auf meinen Servern. Personenbezogene Daten verarbeite ich dabei ausschließlich über die kommerziellen Angebote (API bzw. Business-Tarife) von Anthropic (Claude) und OpenAI. Diese Anbieter handeln als Auftragsverarbeiter und verwenden die Daten nach ihren Vertragsbedingungen nicht zum Training ihrer Modelle. Ich gebe nur die Daten ein, die für den jeweiligen Zweck erforderlich sind. Automatisierte Entscheidungen im Sinne des Art. 22 DSGVO finden nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung der Durchführung eines Vertrags mit der betroffenen Person dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Organisation und der Durchführung von Geschäftsbeziehungen). Für Transkripte und Gesprächsnotizen gilt Art. 6 Abs. 1 lit. a DSGVO (siehe Abschnitt 6). Verarbeite ich Daten im Auftrag meiner Kunden, richtet sich dies nach dem jeweiligen Vertrag über die Auftragsverarbeitung.

9. Empfänger und Drittlandübermittlung

Ich setze zur Erbringung meiner Leistungen insbesondere folgende externe Dienstleister ein. Soweit sie Daten in meinem Auftrag verarbeiten, geschieht dies auf Grundlage eines Vertrags über die Auftragsverarbeitung:

Darüber hinaus übermittle ich personenbezogene Daten an eigenständig Verantwortliche, soweit dies zur Vertragsabwicklung oder aufgrund gesetzlicher Pflichten erforderlich ist, insbesondere an Banken, Steuerberater und Finanzbehörden. Daten aus einer Odoo-Datenbank werden an die Odoo S.A. nur übermittelt, soweit deren Bank-Synchronisation (Abschnitt 7) oder deren Support- und Upgrade-Dienste genutzt werden.

Soweit personenbezogene Daten in Staaten außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (für zertifizierte US-Unternehmen z. B. das EU-U.S. Data Privacy Framework) oder geeigneter Garantien wie der EU-Standardvertragsklauseln.

10. Speicherdauer

Ich speichere personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Danach werden sie gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen, insbesondere nach § 147 AO (bis zu zehn Jahre).

Transkripte von Online-Meetings und die daraus erstellten Zusammenfassungen speichere ich für die Dauer der Geschäftsbeziehung und darüber hinaus bis zum Ablauf der gesetzlichen Verjährungsfristen, in der Regel drei Jahre ab Ende des Kalenderjahres, in dem die Beratung erbracht wurde; anschließend werden sie gelöscht. Nach einem Widerruf der Einwilligung bewahre ich bereits erstellte Transkripte und Zusammenfassungen nur noch auf, soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO).

Geschäftliche E-Mails archiviere ich in einem gesicherten, nur mir zugänglichen E-Mail-Archiv. Das gilt auch für Anfragen, aus denen keine Geschäftsbeziehung entsteht. Da sich im laufenden Betrieb nicht zuverlässig trennen lässt, welche Nachrichten aufbewahrungspflichtige Geschäftsbriefe oder steuerlich relevante Unterlagen sind, werden alle geschäftlichen E-Mails für acht Jahre ab Schluss des jeweiligen Kalenderjahres archiviert und anschließend gelöscht. Archivierte E-Mails nutze ich ausschließlich zur Erfüllung von Aufbewahrungspflichten sowie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO sowie Art. 6 Abs. 1 lit. f DSGVO.

11. Bereitstellung der Daten

Die Bereitstellung personenbezogener Daten ist grundsätzlich weder gesetzlich noch vertraglich vorgeschrieben. Soweit bestimmte Angaben für die Anbahnung oder Durchführung eines Vertrags erforderlich sind, kann der Vertrag ohne diese Angaben gegebenenfalls nicht geschlossen oder durchgeführt werden.

12. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, erteilte Einwilligungen mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Eine formlose Nachricht an moin@marcoroeder.de genügt.

Widerspruchsrecht: Soweit ich Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeite, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für mich ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

13. Änderungen

Ich passe diese Datenschutzerklärung an, wenn sich meine Dienste oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: Oktober 2026