Stand: 14. August 2026 · Gemäß DSGVO (EU 2016/679) und BDSG
Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:
Wir verarbeiten folgende Daten:
Zweck: Betrieb der Website, Fehleranalyse, Sicherheit gegen Angriffe. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle werden rollierend überschrieben (siehe Abschnitt 8).
Zweck: Bereitstellung des Kundenkontos.
Zweck: Beantwortung von Anfragen, Erstellung von Angeboten.
Wichtig zum Gesprächsverlauf: Damit der Assistent sich innerhalb eines Gesprächs erinnert, wird der laufende Verlauf kurzzeitig in unserer Datenbank abgelegt. Er wird automatisch gelöscht, sobald das Gespräch ruht. Im Produkt-Chat nach 15 Minuten, im Handwerker-Assistenten nach 60 Minuten. Diese Löschung erledigt die Datenbank selbsttätig; ein manuelles Eingreifen ist nicht nötig. Eine dauerhafte Speicherung des Gesprächsinhalts findet nicht statt. Dauerhaft gespeichert werden nur die Anzahl der Gespräche pro Tag (ohne Inhalte) sowie technische Nutzungsdaten je Anfrage: Zeitpunkt, IP-Adresse und Anzahl der verbrauchten KI-Token. Zweck: Abrechnung und Schutz vor Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Einige Handwerksbetriebe nutzen bei uns eine eigene Anfrage-Seite. Wenn du dort eine Anfrage stellst, verarbeiten wir:
Zweck: Der Handwerksbetrieb erhält deine Anfrage per E-Mail und/oder Messenger-Nachricht und ruft dich zurück. Wir selbst führen keine Arbeiten aus und schließen keinen Vertrag mit dir. Empfänger: ausschließlich der Betrieb, dessen Anfrage-Seite du benutzt hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Speicherdauer: Fotos werden spätestens nach 90 Tagen automatisch gelöscht, die übrigen Angaben der Anfrage nach 12 Monaten. Ein Foto, das du hochlädst, ohne die Anfrage abzuschicken, wird nach 2 Tagen automatisch entfernt. Die Angabe ist freiwillig — ohne Telefonnummer kann dich der Betrieb aber nicht zurückrufen.
Betriebe, die zu dir herauskommen, brauchen deinen Aufenthaltsort. Wenn du im Assistenten auf „Standort automatisch ermitteln“ tippst, fragt dein Browser dich um Erlaubnis und übermittelt anschließend deine Koordinaten (Breiten- und Längengrad samt Genauigkeitsangabe) an uns. Zweck: Der Betrieb soll dich finden — gerade bei einer Panne, wo du selbst oft keine Adresse nennen kannst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Empfänger: ausschließlich der Betrieb, dessen Anfrage-Seite du benutzt hast — als Textangabe zusammen mit einem Kartenlink. Speicherdauer: wie die übrigen Angaben der Anfrage, 12 Monate. Freiwillig: Die Ortung findet nur statt, wenn du sie auslöst und dein Browser sie freigibt. Du kannst die Adresse stattdessen jederzeit selbst eintippen — es entsteht dir dadurch kein Nachteil. Wir werten deinen Standort nicht aus, erstellen keine Bewegungsprofile und geben ihn an niemanden sonst weiter.
Hat der Betrieb einen Google-Kalender mit uns verbunden, zeigt dir der Assistent freie Zeiten an und du kannst dir eine davon vormerken lassen. Dabei werden folgende Daten verarbeitet:
Ablauf: Deine Auswahl ist zunächst nur eine Vormerkung bei uns. Erst wenn der Betrieb die Anfrage annimmt, wird ein Termin in seinem Kalender angelegt — und dabei werden die oben genannten Angaben als Beschreibung des Termineintrags an Google Ireland Ltd. übermittelt. Nimmt der Betrieb die Anfrage nicht an, gelangen deine Daten nicht zu Google. Zweck: Der Betrieb soll bei dir vor Ort erscheinen können und wissen, worum es geht. Empfänger: der Betrieb, dessen Anfrage-Seite du benutzt hast, sowie Google Ireland Ltd. als Auftragsverarbeiter des Betriebs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Speicherdauer: Der Kalendereintrag liegt im Kalender des Betriebs und unterliegt dessen Verantwortung; wir können ihn technisch weder ändern noch löschen. Die zugehörige Anfrage löschen wir nach 12 Monaten. Betriebe ohne verbundenen Kalender fragen dich lediglich nach einer Wunschzeit; in dem Fall werden keine Daten an Google übermittelt.
Um Anfragen mit erfundenen Kontaktdaten zu verhindern, kann der Assistent dir vor dem Absenden einen sechsstelligen Code per WhatsApp an die von dir angegebene Nummer schicken, den du anschließend eingibst. Zweck: Prüfung, ob die angegebene Rufnummer tatsächlich dir gehört und erreichbar ist; Schutz der Betriebe vor Scheinaufträgen. Empfänger: Meta Platforms Ireland Ltd. zur Zustellung der Nachricht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse der Betriebe, keine Fahrten zu erfundenen Aufträgen zu unternehmen). Speicherdauer: Vom Code selbst speichern wir nur eine nicht rückrechenbare Prüfsumme; sie verfällt nach 10 Minuten und wird spätestens mit dem Ende deiner Sitzung gelöscht. Freiwillig: Du kannst deine Anfrage auch ohne Bestätigung abschicken. Der Betrieb erfährt dann, dass die Nummer nicht bestätigt wurde.
Vor dem Absenden kannst du freiwillig ankreuzen, dass du nach Abschluss einmalig gefragt werden möchtest, wie es gelaufen ist. Diese Nachricht gibt dir die Möglichkeit, den Betrieb zu bewerten. Zweck: Rückmeldung zur ausgeführten Leistung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Widerruf: jederzeit formlos an [email protected], ohne Angabe von Gründen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Zum Nachweis speichern wir, wann und mit welchem Wortlaut du zugestimmt hast. Ohne dieses Häkchen erhältst du keine solche Nachricht — deine Anfrage geht trotzdem ganz normal an den Betrieb.
Zweck: Wir nehmen Kontakt auf und richten den Assistenten mit den Angaben ein. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Die Daten gehen an keinen Dritten; die Benachrichtigung an uns läuft über den E-Mail-Dienstleister in Abschnitt 4. Die Bestätigungen zu AGB, Auftragsverarbeitungsvertrag und Unternehmereigenschaft speichern wir mit Zeitpunkt und IP-Adresse, weil wir den Vertragsschluss belegen können müssen (Art. 6 Abs. 1 lit. b und lit. f DSGVO, berechtigtes Interesse an der Nachweisbarkeit). Speicherdauer: 12 Monate nach der letzten Kommunikation, danach Löschung; der Nachweis der Vertragsannahme bleibt für die Dauer des Vertrags und die gesetzlichen Aufbewahrungsfristen erhalten. Auf Zuruf an [email protected] löschen wir die Anfrage sofort.
Zweck: Wir sehen uns deine Website an und antworten dir mit einem Vorschlag. Mehr fragen wir nicht ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Es erfolgt kein Newsletter und keine Weitergabe an Dritte. Auf Zuruf an [email protected] löschen wir die Anfrage sofort.
Wir zählen Aufrufe unserer Seiten. Dabei wird keine IP-Adresse gespeichert, sondern nur ein nicht rückrechenbarer Hashwert aus IP, Browserkennung und einem geheimen Schlüssel, damit können wir wiederkehrende von neuen Besuchern unterscheiden, dich aber nicht identifizieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung ohne Personenbezug). Es werden dafür keine Cookies gesetzt.
Zusätzlich führen wir reine Tagessummen darüber, welche Seiten aufgerufen,
wie oft die Demo geöffnet und wie oft einzelne Schaltflächen angeklickt wurden. Gespeichert
wird dabei ausschließlich ein Zählerstand je Tag, kein Verlauf, keine Kennung, nichts, was
sich einer Person zuordnen ließe. Enthält die aufgerufene Adresse eine Kennung einer
Werbeaktion (zum Beispiel /h/nb1 aus einem Brief), zählen wir die Aufrufe je
Aktion, um deren Erfolg zu bewerten. Auch dafür werden keine Cookies gesetzt und nichts im
Browser gespeichert.
Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO):
| Anbieter | Zweck | Standort | Garantien |
|---|---|---|---|
| Mistral AI SAS | KI-Sprachmodell für Chatbot-Antworten | EU (Frankreich) | Auftragsverarbeitungsvertrag (DPA); keine Drittlandübermittlung |
| Brevo (Sendinblue GmbH) | Versand der Benachrichtigungs- und Bestätigungs-E-Mails | EU (Deutschland/Frankreich) | Auftragsverarbeitungsvertrag (DPA); Verarbeitung innerhalb der EU |
| Meta Platforms Ireland Ltd. | Benachrichtigung des beauftragten Betriebs über WhatsApp (WhatsApp Business Cloud API) | EU (Irland), Übermittlung in die USA möglich | EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Meta-DPA |
| Google Ireland Ltd. | Kalender des Handwerksbetriebs: Lesen freier Zeiten und Eintragen bestätigter Termine (Google Calendar API). Nur bei Betrieben, die einen Kalender verbunden haben. | EU (Irland), Übermittlung in die USA möglich | EU-Standardvertragsklauseln, EU-US Data Privacy Framework, Google-Auftragsverarbeitungsvertrag |
| MongoDB Atlas | Datenbank-Hosting (Nutzerkonten, Produkte, Bestellungen) | EU (Frankfurt) | Hosting innerhalb der EU, ISO 27001 zertifiziert |
| Cloudflare, Inc. | CDN, DDoS-Schutz, TLS-Terminierung | Global (EU-Server priorisiert) | EU-Standardvertragsklauseln + Cloudflare DPA |
| Spaceship Inc. | Domain-Registrar | USA | ICANN-akkreditiert, DPA verfügbar |
Für Kunden mit eingebundenem Chatbot: Verarbeiten wir Daten von Besuchern der Website eines Kunden, ist der Kunde der Verantwortliche und wir sein Auftragsverarbeiter. Grundlage dafür ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, dem der Kunde bei der Registrierung zustimmt. Dort stehen auch alle Unterauftragsverarbeiter und die technischen Schutzmaßnahmen.
Schriftarten und Skripte: Alle Schriftarten und JavaScript-Bibliotheken werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder zu anderen fremden Content-Delivery-Netzwerken; Ihre IP-Adresse wird dorthin nicht übertragen.
WhatsApp (Meta): Wenn ein Handwerksbetrieb die Benachrichtigung per WhatsApp aktiviert hat, übermitteln wir die Angaben aus Ihrer Anfrage (Name, Telefonnummer, Postleitzahl, Beschreibung des Anliegens sowie Links zu hochgeladenen Fotos) über die WhatsApp Business Cloud API an den Betrieb. Verantwortlich für den Messenger-Dienst ist Meta Platforms Ireland Ltd. Eine Nachricht an Sie selbst versenden wir nur, wenn Sie dem im Formular ausdrücklich zugestimmt haben.
Mistral AI (Frankreich): Der Text der jeweiligen Chat-Nachricht wird zur Erzeugung der Antwort an Mistral AI SAS übertragen. Die Verarbeitung findet innerhalb der EU statt. Eine Übermittlung in ein Drittland findet nicht statt. Über die Schnittstelle (La Plateforme) übermittelte Inhalte werden vertraglich nicht zum Training von Modellen verwendet und nach spätestens 30 Tagen gelöscht (Data Processing Addendum).
Wir verwenden ausschließlich technisch notwendige Cookies (Login-Session, CSRF-Schutz). Diese sind ohne Einwilligung nach § 25 Abs. 2 TDDDG zulässig.
bl.sid. Login-Session. Wird nur gesetzt, wenn du dich anmeldest (HttpOnly, Secure, SameSite=Lax, Laufzeit 7 Tage).bl.csrf und bl.csrfid. Zusammengehörendes Tokenpaar zur
Absicherung von Formular-Anfragen gegen fremde Seiten (Laufzeit jeweils 24 Stunden;
bl.csrfid ist HttpOnly).Es werden keine Marketing-/Tracking-Cookies ohne deine ausdrückliche Einwilligung gesetzt.
Wenn du das Kontaktformular oder den Chatbot verwendest, verarbeiten wir die von dir eingegebenen Informationen (Name, E-Mail, Nachricht, Produktwünsche) zur Bearbeitung deiner Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).
Speicherdauer: Bis zum Abschluss deiner Anfrage, danach 6 Monate zur Nachverfolgung. Danach Löschung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Bei Registrierung speichern wir E-Mail und Passwort-Hash (bcrypt). Wir empfehlen ein einzigartiges, starkes Passwort.
Anmeldeversuche werden zur Sicherheit protokolliert (IP-Adresse, Browserkennung, Zeitstempel). Das schützt dein Konto vor fremden Zugriffsversuchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Zur Speicherdauer siehe Abschnitt 8.
Unabhängig davon gilt: Auf Zuruf an [email protected] löschen wir deine Daten sofort und vollständig.
Du hast folgende Rechte uns gegenüber:
Zur Ausübung deiner Rechte schreibe an: [email protected]
Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben.
Richtet sich die Verarbeitung auf Direktwerbung, kannst du ohne Angabe von Gründen widersprechen. Wir stellen die Verarbeitung zu Werbezwecken dann sofort ein. Eine formlose Nachricht an [email protected] genügt.
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Der KI-Assistent formuliert Antworttexte, trifft aber keine Entscheidungen mit rechtlicher Wirkung über dich.
Die Angabe von Name und Telefonnummer ist erforderlich, damit der Betrieb dich zurückrufen kann; ohne diese Angaben kann keine Anfrage übermittelt werden. Alle übrigen Angaben, etwa Fotos, Wunschtermin oder eine Beschreibung, sind freiwillig. Ihr Fehlen hat keine Nachteile außer einer weniger genauen Einschätzung.
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27, 91522 Ansbach
lda.bayern.de
Wir setzen geeignete technische und organisatorische Maßnahmen (TOM) ein:
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Rechtslage oder Funktionsweise ändert. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.
Diese Datenschutzerklärung wurde nach bestem Wissen erstellt. Sie ersetzt keine Rechtsberatung.