Datenschutzerklärung

1. Überblick

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website vortail.systems besuchen, uns ein Projekt beschreiben, ein Erstgespräch buchen, das Terminal auf der Startseite nutzen oder im Shop kaufen: zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen die Daten gehen, wie lange wir sie speichern und welche Rechte Sie haben.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO), etwa Ihr Name, Ihre E-Mail-Adresse oder Ihre IP-Adresse. Wir verarbeiten sie nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

2. Verantwortlicher

VORTAIL SYSTEMS ist das Partnerstudio von MAD MIRROR STUDIOS für Software, KI und Automatisierung. Verantwortlich für beide Studios ist:

MAD MIRROR STUDIOS GbR, vertreten durch die Gesellschafter Marlon Baum und Melvin Baum
Zentgrafenstraße 93, 34130 Kassel, Deutschland
E-Mail: hello@mad-mirror-studios.com
Telefon: +49 176 416 316 47

Einen Datenschutzbeauftragten müssen wir nicht benennen (Art. 37 DSGVO, § 38 BDSG). Fragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

3. Hosting und Server-Logfiles

Diese Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Bei jedem Seitenaufruf übermittelt Ihr Browser automatisch technische Daten, die in Server-Logfiles verarbeitet werden: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer sowie Browser und Betriebssystem.

Wir benötigen diese Daten, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Webangebot. Die Logdaten werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und nicht mit anderen Datenquellen zusammengeführt.

Vercel ist unser Auftragsverarbeiter (Art. 28 DSGVO) und liefert die Website über ein weltweites Servernetz aus. Dabei können Daten in die USA übermittelt werden; Vercel ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln (siehe Abschnitt 17).

4. Schriften, Inhalte und unser Backend

Schriften liefern wir von unserem eigenen Server aus. Eine Verbindung zu Google Fonts oder anderen Schriftanbietern findet nicht statt.

Projektseiten, Bilder, der Shop-Katalog und die Funktionen der Website (Formulare, Buchung, Shop) laufen über unser Backend bei Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, mit Rechenzentrum in Frankfurt am Main, das wir gemeinsam mit unserem Partnerstudio MAD MIRROR STUDIOS nutzen. Ruft Ihr Browser dort Inhalte ab, wird Ihre IP-Adresse technisch bedingt an Supabase übermittelt. Rechtsgrundlage für die Auslieferung ist Art. 6 Abs. 1 lit. f DSGVO; für Ihre Anfragen gelten die Rechtsgrundlagen der folgenden Abschnitte.

Supabase ist unser Auftragsverarbeiter. Die Daten liegen in Frankfurt am Main; soweit Supabase oder seine Unterauftragsverarbeiter für Betrieb, Wartung und Support aus Singapur, den USA oder anderen Drittländern darauf zugreifen können, stützt sich das auf die EU-Standardvertragsklauseln, die Teil unseres Vertrags mit Supabase sind.

5. Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (etwa Name, Kontaktdaten und Inhalt Ihrer Nachricht), um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag mit uns zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung von Anfragen.

Unsere E-Mail-Postfächer, Kalender und Videocalls betreiben wir mit Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Auftragsverarbeiter. Eine Übermittlung an die Google LLC in den USA stützt sich auf das EU-U.S. Data Privacy Framework.

6. Projektanfrage, Konfigurator und Rückrufwunsch

Wenn Sie uns über die Website ein Projekt beschreiben, eine Konfiguration absenden oder um einen Rückruf bitten, verarbeiten wir Ihre Angaben: Name, E-Mail-Adresse, optional Unternehmen und Telefonnummer, Ihre Nachricht, Ihre Antworten im Konfigurator mit einem Link, der die Konfiguration wiederherstellt, den gewünschten Zeitrahmen, die Art des Gesprächs und Ihre Wunschzeiten für einen Rückruf. Dazu kommen die Sprache und das Thema der Anfrage. Wir nutzen diese Daten, um Ihre Anfrage zu bearbeiten, ein Angebot oder Gespräch vorzubereiten und bei Bedarf nachzufassen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Für das Nachfassen und für das Zusammenführen mehrerer Anfragen mit derselben E-Mail-Adresse stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine vollständige und effiziente Bearbeitung.

Ihre Anfrage speichern wir als Kontakt in unserer eigenen Kundenverwaltung (Supabase, Rechenzentrum Frankfurt am Main). Die Benachrichtigung an uns und die Bestätigung an Sie versenden wir über den E-Mail-Dienst Resend (Resend, Inc., USA) als Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je Verbindung. Dafür wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher verarbeitet; bei Rückrufwünschen speichern wir zusätzlich einen gesalzenen Hashwert der IP-Adresse (nicht die Adresse selbst) und löschen ihn nach 48 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Außerdem schützen wir die Formulare dieser Website (Projektanfrage mit Konfigurator, Rückrufwunsch, Buchung des Erstgesprächs mit Verschieben und Absagen) mit Cloudflare Turnstile vor Spam und automatisierten Anfragen. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile wird erst geladen, wenn Sie ein Formular benutzen, etwa in ein Feld klicken; solange Sie die Website nur lesen, wird keine Verbindung zu Cloudflare aufgebaut. Dann lädt Ihr Browser ein Skript von challenges.cloudflare.com, das prüft, ob ein Mensch das Formular bedient. Dabei erhält Cloudflare Ihre IP-Adresse, technische Merkmale Ihres Browsers und Ihrer Verbindung (etwa die Browserkennung und Merkmale der verschlüsselten Verbindung) und die Adresse der Website, auf der das Formular steht; Cloudflare kann dafür Informationen in Ihrem Browser speichern und auslesen. Meist bemerken Sie davon nichts, nur im Zweifel erscheint ein Kästchen zum Anklicken. Das Ergebnis ist ein einmal gültiger Prüfwert, den Ihr Browser mit dem Formular an unseren Server schickt. Unser Server lässt ihn von Cloudflare bestätigen und übermittelt dabei Ihre IP-Adresse; den Prüfwert und das Ergebnis speichern wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz unserer Formulare, unseres Postfachs und unserer Dienste vor Missbrauch und automatisierten Angriffen. Das Speichern und Auslesen von Informationen in Ihrem Browser ist unbedingt erforderlich, damit wir das Formular, das Sie nutzen, sicher bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG). Für die Prüfung ist Cloudflare unser Auftragsverarbeiter (Art. 28 DSGVO). Nach eigenen Angaben nutzt Cloudflare die Merkmale außerdem in eigener Verantwortung, um seine Bot-Erkennung zu verbessern, nicht aber, um Personen zu identifizieren, Profile zu bilden oder Werbung zu zeigen. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert (siehe Abschnitt 17). Mehr dazu unter https://www.cloudflare.com/turnstile-privacy-policy/ und https://www.cloudflare.com/privacypolicy/. Möchten Sie Turnstile nicht nutzen, schreiben Sie uns einfach an hello@mad-mirror-studios.com.

Ihre Antworten im Konfigurator stehen bis zum Absenden nur in der Adresse der Seite in Ihrem Browser. An uns übermittelt werden sie erst, wenn Sie die Anfrage absenden.

7. Erstgespräch buchen und Videocalls

Buchen Sie ein Erstgespräch zu einem freien Termin, verarbeiten wir Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und Unternehmen, Thema, Notizen, die Art des Gesprächs, Ihre Zeitzone und den gewählten Termin. Wir legen den Termin in unserem Google-Kalender an; die Einladung, bei einem Videocall mit Google-Meet-Link, verschickt Google an Ihre E-Mail-Adresse. Die Buchungsbestätigung und am Tag vor dem Termin eine Erinnerung senden wir per E-Mail über Resend.

Mit der Bestätigung erhalten Sie einen persönlichen Link, über den Sie den Termin verschieben oder absagen können. Wer diesen Link kennt, kann den Termin verwalten; geben Sie ihn deshalb nicht weiter.

Nehmen Sie an einem Videocall über Google Meet teil, verarbeitet Google die für die Verbindung nötigen Daten, etwa IP-Adresse, Geräteinformationen, Ihren angezeigten Namen sowie Bild und Ton während des Gesprächs. Wir zeichnen Calls nicht ohne Ihre ausdrückliche vorherige Einwilligung auf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Google ist unser Auftragsverarbeiter; eine Übermittlung an die Google LLC in den USA stützt sich auf das EU-U.S. Data Privacy Framework.

Das Buchen, Verschieben und Absagen schützen wir mit Cloudflare Turnstile vor Spam (siehe Abschnitt 6).

8. Das Terminal im Logo

Auf der Startseite können Sie über dem Logo Befehle eintippen. Einfache Befehle beantwortet die Seite selbst. Alle anderen schickt Ihr Browser zusammen mit bis zu sechs vorherigen Eingaben und Antworten dieses Besuchs, der Sprache und der Größe der Anzeige an eine Serverfunktion bei Vercel. Diese lässt die Antwort vom KI-Modell Claude der Anthropic Ireland, Limited erzeugen. Dabei können Daten an die Anthropic PBC in den USA übermittelt werden; das stützt sich auf die EU-Standardvertragsklauseln. Nach den vertraglichen Bedingungen nutzt Anthropic diese Daten nicht zum Training seiner Modelle. An Anthropic geht nur der Text, nicht Ihre IP-Adresse. Bitte geben Sie im Terminal keine personenbezogenen Daten ein.

Wir speichern Ihre Eingaben nicht. Um die Kosten zu begrenzen, zählen wir in unserem Backend nur, wie viele Antworten am Tag insgesamt erzeugt werden, ohne Bezug zu Ihnen. Zum Schutz vor Missbrauch verarbeitet die Serverfunktion Ihre IP-Adresse kurzzeitig im Arbeitsspeicher, um die Zahl der Anfragen je Verbindung zu begrenzen.

Damit das Terminal nicht von automatisierten Programmen ausgenutzt wird, nutzen wir Vercel BotID. Startet die Animation auf der Startseite, lädt Ihr Browser über unsere eigene Domain ein Prüfskript, das technische Merkmale Ihres Browsers und seiner Bedienung auswertet; das Ergebnis wird beim Senden eines Befehls mitgeschickt und von Vercel als unserem Auftragsverarbeiter geprüft. Ob Sie den Hinweis zum Terminal schon gesehen haben, merkt sich Ihr Browser (siehe Abschnitt 13).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine interaktive Website, die vor Missbrauch und unbegrenzten Kosten geschützt ist. Soweit für die Prüfung Informationen in Ihrem Browser gespeichert oder ausgelesen werden, ist das für den Schutz dieses Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

9. Bilder und Videos der Projektseiten

Die Bilder und Videos unserer Projekte liegen auf unserem eigenen Speicher (Supabase, Frankfurt am Main) oder werden mit der Website ausgeliefert. Einzelne Videos können direkt aus Dropbox geladen werden (Dropbox International Unlimited Company, One Park Place, Hatch Street Upper, Dublin 2, Irland). Öffnen Sie eine Projektseite mit einem solchen Video, lädt Ihr Browser es von Servern von Dropbox; dabei wird Ihre IP-Adresse an Dropbox übermittelt, gegebenenfalls auch in die USA.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, unsere Arbeit in guter Qualität zu zeigen. Eine Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework beziehungsweise die EU-Standardvertragsklauseln.

10. Live-Ansicht von Kundenwebsites

Auf einzelnen Projektseiten zeigen wir die Website eines Kunden nicht nur als Bild, sondern live in einem Browser- oder Smartphone-Rahmen. Das geschieht nur auf größeren Bildschirmen; auf Smartphones sehen Sie einen Screenshot von unserem eigenen Speicher.

Bei der Live-Ansicht lädt Ihr Browser die Kundenwebsite direkt von deren Servern. Dabei werden Daten wie Ihre IP-Adresse sowie Geräte- und Browserinformationen an den Betreiber dieser Website und seine Dienstleister übermittelt; die Adresse unserer Seite schicken wir nicht mit. Die gezeigte Website kann eigene Skripte, Cookies oder ein eigenes Cookie-Banner einsetzen. Dafür ist ihr Betreiber verantwortlich, und es gilt dessen Datenschutzerklärung, die Sie über den Link zur Website erreichen.

Rechtsgrundlage für das Laden ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, unsere Arbeit so zu zeigen, wie sie im Einsatz funktioniert.

11. Videos von YouTube und Vimeo

Auf einzelnen Projektseiten zeigen wir Videos, die bei YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder Vimeo (Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, USA) liegen. Bis Sie auf Abspielen klicken, sehen Sie nur ein Vorschaubild von unserem eigenen Speicher; es wird keine Verbindung zu YouTube, Google oder Vimeo aufgebaut.

Erst mit Ihrem Klick laden wir den Player, bei YouTube im erweiterten Datenschutzmodus (youtube-nocookie.com), bei Vimeo mit aktivierter Do-Not-Track-Einstellung. Dabei werden Daten wie Ihre IP-Adresse, Geräte- und Browserinformationen und die Seite, auf der das Video läuft, an den jeweiligen Anbieter übertragen, auch in die USA. Die Anbieter können dabei Cookies oder ähnliche Technologien einsetzen.

Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework. Mehr dazu in den Datenschutzerklärungen von Google (https://policies.google.com/privacy) und Vimeo (https://vimeo.com/privacy).

12. Shop: Kauf, Lizenzen und Aktivierung

Wenn Sie im Shop kaufen, leiten wir Sie zum Bezahlen an Stripe Checkout weiter. Händler (Merchant of Record) ist Link, ein Dienst von Stripe. Link verarbeitet Ihre Zahlungs- und Rechnungsdaten in eigener Verantwortung, um den Kauf abzuwickeln, Steuern abzuführen und Ihnen Beleg und Rechnung zu schicken; es gelten die Datenschutzerklärungen von Link und Stripe (https://link.com/privacy, https://stripe.com/privacy). Dabei können Daten auch in die USA übermittelt werden; Stripe stützt sich dafür auf das EU-U.S. Data Privacy Framework und die EU-Standardvertragsklauseln. Ihre Zahlungsdaten, etwa Kartennummern, erhalten wir nicht.

Nach dem Kauf erhalten wir von Stripe Ihren Namen, Ihre E-Mail-Adresse, Ihr Land, die gekauften Produkte und die Beträge. Damit legen wir Ihre Bestellung und Ihre Lizenzschlüssel in unserer eigenen Verwaltung an (Supabase, Frankfurt am Main) und schicken Ihnen die Schlüssel und den Link zu Ihrer Bestellseite per E-Mail über Resend. Mit der Bestellung speichern wir, welche Fassung der Lizenzbedingungen Sie wann akzeptiert haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

Über den Link zu Ihrer Bestellseite sehen Sie Ihre Schlüssel, laden die Produkte herunter und geben Geräte frei. Wer diesen Link kennt, kann das ebenfalls; geben Sie ihn deshalb nicht weiter. Haben Sie den Link verloren, schicken wir ihn auf Anfrage an die E-Mail-Adresse, mit der Sie gekauft haben. Die Antwort auf der Website ist immer dieselbe, damit niemand herausfinden kann, ob mit einer Adresse gekauft wurde.

Aktivieren Sie ein Produkt, überträgt es den Lizenzschlüssel, eine gehashte Kennung des Geräts (nicht die Hardware-Kennung selbst), den Gerätenamen, das Betriebssystem und die Produktversion an uns, bei späteren Prüfungen zusätzlich den Zeitpunkt. So prüfen wir die Zahl der Geräte je Lizenz, und Sie können Geräte auf Ihrer Bestellseite freigeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen an den Shop je Verbindung; dafür wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Ihren Warenkorb speichert nur Ihr Browser (siehe Abschnitt 13).

13. Speicher im Browser und Cookies

Wir setzen keine Cookies zu Analyse- oder Werbezwecken und binden keine Analyse- oder Werbedienste ein. Damit die Website funktioniert, legt sie einige Angaben im Speicher Ihres Browsers ab (Local Storage und Session Storage). Diese Angaben bleiben auf Ihrem Gerät:

• mms-lang (Local Storage): die Sprache, die Sie gewählt haben, bis Sie den Speicher Ihres Browsers löschen.
• mds-code-hint (Local Storage): dass Sie den Hinweis zum Terminal auf der Startseite gesehen haben, bis Sie den Speicher Ihres Browsers löschen.
• mds-cart (Local Storage): der Inhalt Ihres Warenkorbs im Shop, bis Sie bestellen oder ihn leeren.
• mds-shop-demo und mds-shop-demo-order (Session Storage): nur im Vorführmodus des Shops: dass er aktiv ist und die vorgeführte Bestellung, bis Sie den Tab schließen.

Diese Speicherungen sind unbedingt erforderlich, damit wir den von Ihnen gewünschten Dienst bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO. Zur Prüfung durch Vercel BotID siehe Abschnitt 8.

Benutzen Sie ein Formular, kann Cloudflare Turnstile zum Schutz vor Spam außerdem Informationen in Ihrem Browser speichern und auslesen, etwa im eingebetteten Prüffenster von challenges.cloudflare.com (siehe Abschnitt 6). Das dient allein dem Schutz des Formulars, das Sie nutzen, und ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Abgesehen von dieser Prüfung können Cookies von Drittanbietern nur entstehen, wenn Sie ein Video von YouTube oder Vimeo abspielen (Abschnitt 11) oder die Live-Ansicht einer Kundenwebsite sehen (Abschnitt 10). Werbe-Cookies setzen wir nicht ein.

14. Unsere Profile in sozialen Netzwerken

Wir sind mit eigenen Profilen auf Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland) und LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland) vertreten. Die Links auf unserer Website sind einfache Verweise; Daten an die Plattformen fließen erst, wenn Sie einen Link anklicken.

Besuchen Sie unsere Profile, verarbeiten die Plattformen Ihre Daten nach ihren eigenen Datenschutzbestimmungen, auch in den USA. Soweit die Plattformen uns Statistiken über die Nutzung unserer Profile bereitstellen, sind wir mit ihnen für deren Erstellung gemeinsam verantwortlich (Art. 26 DSGVO); Informationen dazu gibt es bei LinkedIn unter https://legal.linkedin.com/pages-joint-controller-addendum und bei Meta unter https://www.facebook.com/legal/terms/page_controller_addendum. Schreiben Sie uns dort, verarbeiten wir Ihre Nachricht, um sie zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, unsere Arbeit zu zeigen und mit Interessenten zu kommunizieren. Ihre Rechte können Sie uns gegenüber und unmittelbar bei der jeweiligen Plattform geltend machen, die direkten Zugriff auf Ihre Daten hat.

15. Kunden und Geschäftspartner

Wenn Sie uns beauftragen, verarbeiten wir die für Angebot, Durchführung und Abrechnung erforderlichen Daten Ihrer Ansprechpartner, etwa Name, Funktion, Kontaktdaten, Kommunikation und Rechnungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Geschäftsunterlagen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.

Soweit erforderlich, geben wir Daten an Steuerberater, Banken und Zahlungsdienstleister sowie an Freelancer und Dienstleister weiter, die wir für Ihr Projekt einsetzen. Verarbeiten wir im Rahmen eines Projekts personenbezogene Daten in Ihrem Auftrag, etwa beim Hosting, bei der Wartung einer Website oder App oder beim Betrieb einer KI-Lösung, schließen wir dafür einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

16. Empfänger im Überblick

Diese Dienstleister erhalten Daten von uns oder von Ihrem Browser, jeweils nur im beschriebenen Umfang:

• Vercel Inc., USA: Hosting der Website, Serverfunktion des Terminals und Bot-Schutz (Vercel BotID).
• Supabase Pte. Ltd., Singapur, Rechenzentrum Frankfurt am Main: Backend, Kundenverwaltung, Shop-Verwaltung und Medienspeicher.
• Resend, Inc., USA: Versand von Bestätigungen, Erinnerungen und Bestellmails per E-Mail.
• Cloudflare, Inc., USA: Schutz der Formulare vor Spam (Cloudflare Turnstile), erst wenn Sie ein Formular benutzen.
• Google Ireland Limited, Irland, und Google LLC, USA: Google Workspace (E-Mail, Kalender, Meet), YouTube nur nach Ihrem Klick.
• Anthropic Ireland, Limited, Irland, und Anthropic PBC, USA: Antworten des Terminals auf der Startseite.
• Stripe und Link (ein Dienst von Stripe): Bezahlung, Rechnung und Steuern im Shop, als eigene Verantwortliche.
• Dropbox International Unlimited Company, Irland: Auslieferung einzelner Projektvideos.
• Vimeo.com, Inc., USA: Videos, nur nach Ihrem Klick.
• Betreiber der gezeigten Kundenwebsites: Live-Ansicht auf einzelnen Projektseiten.

Darüber hinaus geben wir Daten nur weiter, wenn Sie eingewilligt haben, es zur Erfüllung eines Vertrags nötig ist oder wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten.

17. Übermittlung in Drittländer

Einige der genannten Anbieter sitzen außerhalb der EU, etwa in den USA oder in Singapur, oder können Daten dorthin übermitteln. Für Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Wo kein solcher Beschluss greift, vereinbaren wir mit dem Anbieter die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie dieser Garantien erhalten Sie auf Anfrage.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen:

• Anfragen, Konfigurationen, Rückrufwünsche und Buchungen: 24 Monate nach dem letzten Kontakt beziehungsweise nach dem Termin. Danach löschen wir die Daten oder anonymisieren sie so, dass sie keiner Person mehr zugeordnet werden können. Ist aus der Anfrage ein Auftrag entstanden, gilt die Speicherdauer für Kunden.
• Bestellungen und Lizenzen aus dem Shop: solange die Lizenz genutzt werden kann, darüber hinaus nach den gesetzlichen Aufbewahrungspflichten.
• Hashwerte von IP-Adressen: 48 Stunden.
• IP-Adressen zur Begrenzung von Anfragen: nur kurzzeitig im Arbeitsspeicher.
• Eingaben im Terminal: werden nicht gespeichert.
• Server-Logfiles: so lange, wie es für Betrieb und Sicherheit nötig ist (siehe Abschnitt 3).
• Speicher im Browser: siehe Abschnitt 13.
• Vertrags- und Abrechnungsunterlagen: sechs, acht oder zehn Jahre nach den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO).

Widerrufen Sie eine Einwilligung oder widersprechen Sie einer Verarbeitung, löschen wir die betroffenen Daten, soweit keine gesetzliche Pflicht und kein anderer Rechtsgrund entgegensteht.

19. Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die als Pflichtfeld gekennzeichneten Angaben können wir Ihre Anfrage, Buchung oder Bestellung jedoch nicht bearbeiten, und ohne Aktivierung lassen sich Produkte aus dem Shop nicht freischalten. Für den Besuch der Website ist die Verarbeitung der Verbindungsdaten technisch erforderlich.

20. Automatisierte Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Die Antworten des Terminals erzeugt eine KI; sie haben keine Wirkung für Sie.

Eine Ausnahme ist die Lizenzprüfung im Shop: Sie prüft automatisch, ob ein Schlüssel gültig ist und auf wie vielen Geräten er aktiv ist, und schaltet das Produkt danach frei oder nicht. Das ist für die Erfüllung des Lizenzvertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Sie können verlangen, dass ein Mensch die Entscheidung überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten; eine Nachricht an hello@mad-mirror-studios.com genügt.

21. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche Daten wir über Sie verarbeiten.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine Pflicht zur Aufbewahrung besteht.
• Einschränkung (Art. 18 DSGVO): Sie können unter den gesetzlichen Voraussetzungen verlangen, dass wir die Verarbeitung einschränken.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Daten, die Sie uns bereitgestellt haben, in einem gängigen maschinenlesbaren Format erhalten oder an einen anderen Verantwortlichen übermitteln lassen.
• Widerruf (Art. 7 Abs. 3 DSGVO): Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
• Widerspruch (Art. 21 DSGVO): siehe den folgenden Hinweis.

Eine formlose Nachricht an hello@mad-mirror-studios.com genügt.

22. Beschwerderecht

Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Wilhelmstraße 7, 65185 Wiesbaden, Deutschland
Telefon: +49 611 1408 0
E-Mail: poststelle@datenschutz.hessen.de

23. Verschlüsselung

Wir übertragen die Website und alle Formulare verschlüsselt (TLS). Sie erkennen das daran, dass die Adresse in Ihrem Browser mit https beginnt.

24. Änderungen

Diese Datenschutzerklärung gilt ab dem 21. Oktober 2026 und ersetzt alle früheren Fassungen. Wir passen sie an, wenn sich die Website, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie auf dieser Seite.