Datenschutzerklärung

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben Ihnen einen Überblick, was mit Ihren personenbezogenen Daten geschieht, wenn Sie diese Website besuchen. Personenbezogen sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Verantwortlicher

DigMa Systems UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Stanislav Tonkich
Richard-Wagner-Str. 33
94060 Pocking, Deutschland
E-Mail: info@step-seeds.de
Telefon: siehe Impressum

2a. Datenschutzbeauftragter

Wir haben derzeit keinen Datenschutzbeauftragten benannt. Wir prüfen laufend, ob die Voraussetzungen für eine Benennung nach Art. 37 DSGVO und § 38 BDSG vorliegen, und benennen einen Datenschutzbeauftragten, sobald dies erforderlich ist; seine Kontaktdaten ergänzen wir dann an dieser Stelle. Datenschutzanfragen richten Sie an den Verantwortlichen unter info@step-seeds.de.

Nach unserer Prüfung (Schwellenwertanalyse) liegen die Voraussetzungen für die Benennung derzeit nicht vor. Sind Sie anderer Auffassung oder haben Sie Hinweise auf Verstöße gegen den Datenschutz, schreiben Sie uns bitte an info@step-seeds.de. Wir prüfen jeden Hinweis zeitnah und ergreifen bei Bedarf Maßnahmen. Ihr Recht, sich an eine Datenschutz-Aufsichtsbehörde zu wenden, bleibt unberührt.

3. Hosting

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Der Serverstandort ist Nürnberg, Deutschland (Rechenzentrum nbg1). Bei Aufruf der Website werden automatisch Informationen (IP-Adresse, Browsertyp, Betriebssystem, Referrer URL, Uhrzeit) in Server-Log-Dateien erfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technisch fehlerfreier Darstellung). Die gespeicherten Daten liegen auf Servern in Deutschland; der Datenverkehr läuft zusätzlich über Cloudflare (siehe Abschnitt 3a). Ein Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 DSGVO wurde mit Hetzner geschlossen.

3a. Cloudflare (DNS, CDN, Grundschutz)

Vor unsere Website ist Cloudflare geschaltet (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA; EU-Vertreter: Cloudflare Germany GmbH, München) als DNS-, CDN- und Reverse-Proxy-Dienst mit Grundschutz vor Angriffen. Cloudflare ist Empfänger und Auftragsverarbeiter; die Website wird über das Netzwerk von Cloudflare ausgeliefert. Dabei werden IP-Adresse, User-Agent und Request-Header verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und schneller Auslieferung). Es gilt der Cloudflare Customer DPA (Teil der Nutzungsbedingungen). Die Übermittlung in die USA stützt sich auf die darin enthaltenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und zusätzlich, soweit Cloudflare zertifiziert ist, auf das EU-US Data Privacy Framework.

4. Datenerfassung auf dieser Website

Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Nachricht, optional Telefonnummer und Website-Adresse) sowie technische Angaben (IP-Adresse, Browserkennung, aufgerufene Seite und Herkunftsangaben wie Referrer und UTM-Parameter), um Ihre Anfrage zu beantworten. Die Angaben werden in unserer Datenbank, in unserem selbst betriebenen CRM (EspoCRM) auf einem Server in Deutschland und in der Benachrichtigung an uns gespeichert; die Eingangsbestätigung versenden wir über Resend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen), für die technischen Angaben Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Anfrage bis zu drei Jahre nach dem letzten Kontakt.

Zusätzlich senden wir Ihnen nach dem Absenden des Kontaktformulars eine Bestätigungs-E-Mail mit einem Bestätigungslink (Double-Opt-In). Erst wenn Sie diesen Link anklicken, nehmen wir Sie in unseren E-Mail-Verteiler bei Brevo auf. Werbliche E-Mails erhalten Sie nur nach dieser Bestätigung und können sie jederzeit über den Abmeldelink widerrufen.

Spam- und Missbrauchsabwehr: Formularübermittlungen, die unser Filter als Spam einstuft, speichern wir mit der IP-Adresse, den eingegebenen Angaben (Name, E-Mail-Adresse, Nachricht), dem Zeitpunkt und der Filterbewertung. Wir prüfen darin Muster, um Angriffe zu erkennen und unsere Filter zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unseres Angebots). Die Einträge werden nach 30 Tagen gelöscht. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

Vormerkliste und Anfrage der Investorenunterlagen

Wenn Sie sich vormerken lassen oder Unterlagen anfordern, speichern wir Name, E-Mail-Adresse, die Quelle der Anfrage und technische Herkunftsangaben in unserer Datenbank, in unserem CRM und bei Brevo. Zur Vormerkliste senden wir Ihnen zunächst nur eine Bestätigungs-E-Mail (Double-Opt-In). Weitere E-Mails erhalten Sie erst, nachdem Sie den Link bestätigt haben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Vormerkliste) bzw. Art. 6 Abs. 1 lit. b DSGVO (Unterlagen). Die Daten der Vormerkliste bleiben bis zu Ihrem Widerruf gespeichert. Den Widerruf können Sie über den Abmeldelink in jeder E-Mail oder per Nachricht an uns erklären.

Server-Log-Dateien

Der Provider erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt: Browsertyp und -version, Betriebssystem, Referrer URL, Hostname, Uhrzeit der Serveranfrage, IP-Adresse. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen.

5. KI-Einsatz und Datenverarbeitung durch Dritte

Zur Erstellung der Diagnose-Berichte setzen wir KI-gestützte Sprachmodelle ein. Dabei werden geschäftliche Eingabedaten (zum Beispiel Firmenname, Website-Adresse, öffentlich verfügbare Bewertungstexte) an die Anbieter Anthropic, PBC (USA) und OpenAI (USA) übermittelt. Soweit für den jeweils genutzten Zugang eine Auftragsverarbeitung nach Art. 28 DSGVO besteht, ist sie in Abschnitt 5f aufgeführt. Wir geben keine Daten von Endkunden unserer Auftraggeber in diese Dienste ein. Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln und, soweit der Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework. Eingesetzt werden:

KI-Werkzeuge (Analyse und Berichterstellung):

• Claude (Anthropic, PBC, San Francisco, USA): Textanalyse, Strukturierung und Berichtserstellung; Übermittlung in die USA auf Grundlage von EU-Standardvertragsklauseln (SCC); zur Auftragsverarbeitung siehe Abschnitt 5f
• OpenAI (San Francisco, USA): Sprachmodelle von OpenAI (u. a. Codex) als zweiter Erstellungsweg für Berichte und als Ausfall-Option; Übermittlung in die USA auf Grundlage von EU-Standardvertragsklauseln (SCC); zur Auftragsverarbeitung siehe Abschnitt 5f
• DataForSEO LLC (USA): ergänzende SEO- und Marktdaten für die Diagnose-Berichte; Standardvertragsklauseln (SCC)

Hinweis: Perplexity Pro wird ausschließlich für interne, anonymisierte Recherche ohne Klienten- oder personenbezogene Daten genutzt (z. B. „Branche: Friseur, Region: München") und ist kein Auftragsverarbeiter im Sinne von Art. 28 DSGVO (für den genutzten Tarif ist kein Auftragsverarbeitungsvertrag verfügbar). Im Rahmen der Marketing-Diagnose-Erstellung setzt STEP/SEEDS® kein Google Gemini als KI-Modell ein. Sollte sich der Einsatz weiterer Modelle in Zukunft erforderlich machen, wird die Datenschutzerklärung vor Aktivierung entsprechend ergänzt.

Infrastruktur und Operations:

• Hetzner Online GmbH (Gunzenhausen, Deutschland): Hosting, Datenbank, Server für EspoCRM und n8n (Rechenzentrum Nürnberg, kein Drittlandtransfer)
• Sendinblue SAS (Brevo) (55 Rue d'Amsterdam, 75008 Paris, Frankreich, EU): E-Mail-Marketing, Newsletter mit Double-Opt-In, automatisierte E-Mail-Sequenzen sowie Versand der PDF-Berichte aus den kostenlosen Online-Tools. Die Daten werden in Rechenzentren in der EU gespeichert. Ein Zugriff durch Unterauftragsverarbeiter in Drittländern, etwa für Support oder Betrieb, ist nicht ausgeschlossen und wird durch Standardvertragsklauseln im Auftragsverarbeitungsvertrag abgesichert. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wurde mit Brevo abgeschlossen; das Data Processing Agreement ist unter brevo.com/legal/termsofuse einsehbar.
• EspoCRM (Open-Source, selbst gehostet auf Hetzner-Server in Deutschland): Lead- und Kontakt-Management (keine externe Auftragsverarbeitung)
• n8n (Open-Source, selbst gehostet auf Hetzner-Server in Deutschland): Workflow-Automatisierung (Lead-Scoring, Drip-Sequenzen, technisches Monitoring; keine externe Auftragsverarbeitung)
• Resend (Plus Five Five, Inc.) (San Francisco, USA): transaktionaler E-Mail-Versand (Bestätigungen, Tracking-Reports, Sicherheitsbenachrichtigungen); DPA + EU-Standardvertragsklauseln (SCC, Beschluss 2021/914)
• Sentry / Functional Software, Inc. (San Francisco, USA; Verarbeitung in EU-Region Frankfurt): Erfassung technischer Fehler; Leistungsmessung und Aufzeichnung fehlerhafter Sitzungen nur nach Ihrer Einwilligung (siehe Ziffer 7a)

KI-Voice-Agent (Anruf-Tab im Website-Widget):

• Vapi Inc. (San Francisco, USA): Voice-AI-Orchestrierung für den browserbasierten Voice-Agent (Web-SDK, kein Telefonanschluss), ohne Audio-Aufzeichnung; technische Logs bis zu 90 Tage; Auftragsverarbeitungsvertrag als Teil der Vapi-Nutzungsbedingungen
• Daily, Inc. (San Francisco, USA): WebRTC-Übertragung des Mikrofon-Audios zwischen Ihrem Browser und Vapi (Unterauftragsverarbeiter von Vapi); Ihr Browser verbindet sich dafür direkt mit Servern von Daily und Vapi, dabei wird Ihre IP-Adresse an diese Anbieter übermittelt
• Deepgram Inc. (San Francisco, USA): Spracherkennung (Speech-to-Text, Modell „nova-3“) aus dem Mikrofon-Audio im Browser (Unterauftragsverarbeiter von Vapi)
• Microsoft Ireland Operations Limited (Dublin, Irland; Azure Cognitive Services): Sprachsynthese (Text-to-Speech, Stimme „de-DE-KatjaNeural“) für die KI-Antworten, eingebunden über Vapi (Unterauftragsverarbeiter von Vapi); es wird nur der generierte Antwort-Text übertragen
• OpenAI (San Francisco, USA): LLM (Modell gpt-4o-mini) für Antwortgenerierung; Self-Service-DPA, nach Anbieterangaben keine Nutzung der API-Eingaben zum Modelltraining

Der Voice-Agent ist ausschließlich über das Website-Widget im Browser erreichbar (Mikrofon-Berechtigung erforderlich); es besteht keine Telefonnummer und keine Rufnummern-/Caller-ID-Erhebung. Mit Vapi besteht ein Auftragsverarbeitungsvertrag (Teil der Vapi-Nutzungsbedingungen); Daily, Deepgram und Microsoft Azure (Sprachsynthese) sind als Unterauftragsverarbeiter von Vapi auf Grundlage dieses Vertrags eingebunden (Art. 28 Abs. 4 DSGVO). Die Verarbeitungsregion der Unterauftragsverarbeiter legt Vapi fest; eine Übermittlung in die USA ist möglich. Der Drittlandtransfer in die USA stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und zusätzlich, soweit der jeweilige Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework. Details zu Aufbewahrungsdauer und Einwilligungsverfahren siehe Abschnitt 5c.

Interne Content-Generierung (Blog blog.step-seeds.de):

• OpenRouter, Inc. (Wilmington, DE, USA): LLM-Gateway für interne Blog-Themen- und Textgenerierung im n8n-Workflow; keine Kunden-/Endkunden-PII wird übertragen, nur Themen, Keywords und Stil-Vorgaben
• KIE.ai (USA): KI-Bildgenerierung für Blog-Header und Inline-Illustrationen im n8n-Workflow; keine personenbezogenen Daten, nur Text-Prompts

Beide Anbieter sitzen in den USA. Für diese Zwecke werden ausschließlich Themen, Stilvorgaben und Bildbeschreibungen ohne Personenbezug übertragen; eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO liegt insoweit nicht vor. Für OpenRouter gilt im Übrigen das Data Processing Addendum des Anbieters.

Tracking-Abo Sub-Prozessoren (Widget-Datenerfassung):

• DataForSEO LLC (USA): SEO-Metriken für Widget 3 „Reviews-Tracker" (Google, kununu, ProvenExpert), Widget 4 „Diagnose vs. Heute" (Rank-Positionen via SERP-API), Widget 7 „NAP-Konsistenz-Check" (Ermittlung öffentlicher Verzeichnis-Einträge Google-Unternehmenseintrag / Impressum / gelbeseiten.de / dasoertliche.de via SERP-API) sowie Widget 8 „Suchvolumen-Anzeige" (durchschnittliches monatliches Google-DE-Suchvolumen für bis zu 20 Klient-Keywords via Keywords Data API); ausschließlich öffentlich zugängliche Daten, keine Klient-PII
• Google LLC (PageSpeed Insights API) (USA / EU-Vertragspartner Google Ireland Ltd.): Core Web Vitals (LCP, CLS, INP) für Widget 2 „Tech-Health"; ausschließlich öffentliche URLs des Klienten
• UptimeRobot Service Provider Kft. (Estland, EU): Uptime-Überwachung (24/7 alle 5 Minuten) und SSL-Ablauf-Warnung für Widget 2 „Tech-Health" (bis maximal 50 Klienten Free-Plan; danach self-hosted curl-Cron); kein Drittlandtransfer
• OpenRouter, Inc. (USA): monatlicher KI-Sichtbarkeits-Scanner (AVS) für Widget 5 „KI-Sichtbarkeit" (30 branchenspezifische Suchanfragen × 4 KI-Modelle × 1×/Monat); seit 2026-07-17 zusätzlich Antwortvorschlags-Generierung für Widget 3 „Reviews-Tracker" (KI-Entwurf einer Antwort auf negative, unbeantwortete Bewertungen mit Rating ≤ 3, im Ton des Kunden-Betriebs, gemäß Art. 50 EU AI Act als KI-Vorschlag gekennzeichnet, ausschließlich zur redaktionellen Kontrolle und Veröffentlichung durch den Kunden); seit Sprint-1b zusätzlich monatliche Generierung von 10 redaktionellen Text-Vorlagen für Widget 9 „Content-Vorlagen" (Google-Beitrag, LinkedIn-Beitrag, Instagram-Text, Blog-Einleitung, Newsletter, Antwort positive/negative Review, Angebots-Beschreibung, FAQ-Antwort, Team-Vorstellung; Primär-Modell Anthropic Claude Haiku, Fallback Google Gemini Flash Lite; Art. 50 EU AI Act als KI-Vorschläge gekennzeichnet, keine automatisierte Veröffentlichung); ausschließlich öffentliche Firmen-Metadaten (Firmenname, Branche, Region) und öffentlich publizierte Bewertungstexte, keine Klient-PII
• Google LLC (Google Places API New) (USA / EU-Vertragspartner Google Ireland Ltd.): Konkurrenz-Vergleich Widget 6 des Tracking-Abos ab 2026-07-17: öffentliche Firmen-Metadaten der vom Kunden benannten Wettbewerber (bis zu drei), Rating, Anzahl Bewertungen, Öffnungszeiten, Kategorien, GBP-Vollständigkeit; keine personenbezogenen Daten der Wettbewerber-Mitarbeiter oder deren End-Kunden. AVV gedeckt durch Google Cloud DPA (identisch zu PageSpeed Insights API).

Drittlandtransfer für DataForSEO, Google PageSpeed und Google Places API (New) erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und zusätzlich, soweit der jeweilige Anbieter zertifiziert ist, des EU-US Data Privacy Framework (für OpenRouter siehe oben). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Tracking-Abonnements gemäß AGB § 3 Abs. (3) bis (3d)) bzw. Art. 6 Abs. 1 lit. f DSGVO für Widget 2 (berechtigtes Interesse an technischer Verfügbarkeitsüberwachung).

Widget 10 „One-Pager Druck-Ansicht": Die einseitige Druck-Ansicht wird vollständig im Browser des Kunden aus bereits vorhandenen Widget-Daten erzeugt (window.print()). Es findet keine serverseitige PDF-Erzeugung statt, es werden keine neuen Daten erhoben und keine externen Anbieter eingebunden.

Widget 11 „Avatar-Journey-Karte": Rendering aus bereits vorhandenen Master-Report-Daten des Klienten (Avatare und Journey-Stufen aus der Diagnose). Es findet keine zusätzliche Datenverarbeitung statt, es werden keine externen Anbieter oder Sub-Prozessoren eingebunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Widget 12 „Investment-Kalkulator": Interaktive Berechnung vollständig im Browser des Klienten. Die Regler-Eingaben werden nicht an den Server übertragen; es werden keine externen Anbieter oder Sub-Prozessoren eingebunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Geplant ab 1. Quartal 2027 (OAuth-basiert, nur nach expliziter Klient-Einwilligung):

• Google Search Console API (Google LLC, USA): OAuth-Zugriff auf Klient-eigene GSC-Daten (Clicks, Impressions, CTR) für Widget 4
• Google Analytics 4 Data API (Google LLC, USA): OAuth-Zugriff auf Klient-eigene GA4-Daten (Sessions, Conversions) für Widget 4
• Google Business Profile API (Google LLC, USA): OAuth-Zugriff auf Klient-eigene GBP-Daten (Reviews-Trend) für Widget 3
• LinkedIn Ireland Unlimited Company (Dublin, Irland; konzernintern LinkedIn Corp. USA): OAuth-Zugriff auf Klient-eigene Company-Page-Metriken (Follower-Trend, Post-Reichweite)

Rechtsgrundlage für alle OAuth-basierten Anbindungen ab Q1 2027: Art. 6 Abs. 1 lit. a DSGVO (explizite Klient-Einwilligung via OAuth-Consent-Flow, jederzeit widerrufbar in den Google-/LinkedIn-Kontoeinstellungen); Drittlandtransfer USA über Standardvertragsklauseln (SCC); Google LLC ist zusätzlich im EU-US Data Privacy Framework gelistet.

Zahlungsabwicklung: Aktuell findet keine Zahlungsverarbeitung über die Website statt. Bei Inbetriebnahme des Zahlungssystems wird die Datenschutzerklärung um folgende Auftragsverarbeiter ergänzt, die Information erfolgt vor Aktivierung:

• Mollie B.V. (Amsterdam, Niederlande): Zahlungsabwicklung (Karten, SEPA, Sofortüberweisung)
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg): PayPal-Zahlungen
• sevdesk GmbH (Offenburg, Deutschland): Rechnungsstellung und Buchhaltung, Datenaustausch mit dem Steuerberater; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird vor dem Einsatz abgeschlossen; kein Drittlandtransfer

Alle drei vorgesehenen Anbieter haben ihren Sitz innerhalb der EU; ein Drittlandtransfer findet nicht statt.

5.14 Information über neue Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO)

Sofern wir personenbezogene Daten im Auftrag eines Kunden verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO, geregelt im jeweiligen Auftragsverarbeitungsvertrag), informieren wir den Auftraggeber mindestens 10 Tage im Voraus in Textform (E-Mail genügt) über die Beauftragung neuer Unter-Auftragsverarbeiter, insbesondere bei:

• Wechsel oder Ergänzung von KI-Modell-Anbietern (z. B. neuer LLM-Provider)
• Wechsel oder Ergänzung von Hosting- oder Speicher-Anbietern
• Wechsel oder Ergänzung von E-Mail-, Analytics- oder Monitoring-Dienstleistern, soweit diese personenbezogene Daten verarbeiten
• Verlagerung der Verarbeitung in ein anderes Land

Der Auftraggeber kann innerhalb dieser Frist in Textform an info@step-seeds.de widersprechen, wenn berechtigte Datenschutzbedenken bestehen. Wir bemühen uns nach Treu und Glauben um eine einvernehmliche Lösung. Kommt diese nicht zustande, kann der Auftraggeber den betroffenen Dienstanteil kündigen.

Diese Regelung gilt zusätzlich zu den Informationspflichten aus Art. 13/14 DSGVO gegenüber den betroffenen Personen und ergänzt etwaige Subprozessor-Listen in den jeweiligen Auftragsverarbeitungs-Verträgen.

5b. Kostenlose Online-Tools (Diagnose-Module)

Auf eigenen Subdomains von step-seeds.de stellen wir mehrere kostenlose Online-Diagnose-Module bereit (z. B. AI-Readiness Check, Lead-Capture Funnel Audit, BAFA-Förder-Check, Agentur-Check, Priorisierungs-Check und SERP-Snippet-Generator). Sie dienen als vorvertragliche Informations- und Bewertungs-Hilfen für Geschäftskunden (Lead-Magneten) und stehen ausschließlich Unternehmern im Sinne des § 14 BGB zur Verfügung.

Funktionsweise: Der Nutzer gibt die zu prüfenden geschäftlichen Daten ein (z. B. Website-URL, Branche, Geschäftsbereich). Diese Eingabedaten werden serverseitig analysiert. Soweit ein Tool einen PDF-Bericht anbietet, kann der Nutzer anschließend seine geschäftliche E-Mail-Adresse angeben, um diesen zu erhalten. Der Bericht wird über Brevo als E-Mail-Anhang an die angegebene Adresse versandt; ein Lead-Datensatz wird in unserem CRM-System (EspoCRM, selbst gehostet) angelegt und über n8n gegebenenfalls einer Drip-Sequenz zugeführt (nach gesondertem Double-Opt-In).

Datenflüsse im SERP-Snippet-Generator: Für die Live-Abfrage wird der eingegebene Suchbegriff zusammen mit Land und Sprache des ausgewählten Suchmarkts an DataForSEO LLC (USA) übermittelt. Für die Erstellung der Textvarianten werden Suchbegriff, optionale Zielseiten-URL, vorhandenes Title-Element und vorhandene Meta-Description sowie öffentlich sichtbare Ausschnitte aus den Suchergebnissen an OpenRouter, Inc. (USA) übermittelt. OpenRouter leitet die Anfrage über eine dynamische Modellauswahl an einen zum Anfragezeitpunkt verfügbaren Modellanbieter weiter. Das ausgewählte Modell und der nachgelagerte Anbieter können daher wechseln. Eine E-Mail-Adresse wird für dieses Tool nicht erhoben. Bitte geben Sie keine personenbezogenen oder vertraulichen Inhalte ein.

Optionale Marketing-Einwilligung: Beim Anfordern des Reports steht zusätzlich ein eigenes, nicht vorangekreuztes Kästchen bereit, mit dem Sie freiwillig Tipps und Hinweise zu Marketing-Themen per E-Mail anfordern können. Der Versand des Reports hängt davon nicht ab. Setzen Sie das Kästchen, senden wir Ihnen über Brevo zunächst eine Bestätigungs-E-Mail (Double-Opt-In); erst mit dem Klick auf den Bestätigungslink wird die Einwilligung wirksam und Ihre Adresse in einen Marketing-Verteiler aufgenommen. Zum Nachweis speichern wir den Zeitpunkt der Anfrage, die Version des angezeigten Einwilligungstextes und die Bestätigung durch Brevo. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über den Abmeldelink in jeder E-Mail oder per Nachricht an uns.

Datenkategorien: geschäftliche Eingabedaten (URL, Branche, Geschäftsbereich, Mitarbeiterzahl-Range); geschäftliche E-Mail-Adresse; optional: Firmenname, Ansprechpartner; technisch: IP-Adresse, Zeitstempel, User-Agent (Rate-Limit-/Missbrauchs-Schutz).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Anfrage des Nutzers); für weiterführende E-Mail-Sequenzen (Drip, Newsletter): Art. 6 Abs. 1 lit. a DSGVO (gesonderter Double-Opt-In erforderlich); für Rate-Limit-/Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit).

Speicherdauer: Tool-Eingabedaten werden nach 30 Tagen aus den Tool-Logs gelöscht. Der Lead-Datensatz in EspoCRM bleibt bis zum Widerruf bzw. spätestens 24 Monaten Inaktivität gespeichert.

Zur Ratenbegrenzung und zum Schutz vor Missbrauch werden zusätzlich ein gehashter IP-Wert sowie der User-Agent des Browsers gespeichert; dies erfolgt auf Grundlage des berechtigten Interesses an IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO) und unterliegt derselben 30-tägigen Löschfrist. Blockierte Analyseversuche (bei Erreichen des täglichen kostenlosen Kontingents) werden aus demselben Grund und mit derselben Frist protokolliert. Auf Anfrage per Kontaktformular können einzelne Nutzer von der Ratenbegrenzung ausgenommen werden; die hierfür gespeicherte gehashte IP-Kennung wird unbefristet bis zum Widerruf durch den Nutzer oder Löschung durch den Betreiber aufbewahrt (Art. 6 Abs. 1 lit. f DSGVO).

Wenn Sie nach Erreichen des kostenlosen Kontingents eine Freischaltung anfragen, speichern wir die Kennung des verwendeten Tools und eine pseudonyme technische Referenz vorübergehend im Session Storage Ihres Browsers. Beim Öffnen des Kontaktformulars werden diese Angaben aus dem Session Storage entfernt und als sichtbarer, bearbeitbarer Bestandteil der Nachricht übernommen. Die Referenz enthält weder Ihren Namen noch Ihre E-Mail-Adresse. Nach Eingang der Anfrage kann sie jedoch dem für die Ratenbegrenzung gespeicherten Hash-Wert zugeordnet werden. Die Verarbeitung dient der Bearbeitung Ihrer Anfrage nach Art. 6 Abs. 1 lit. b DSGVO sowie dem Schutz vor Missbrauch nach Art. 6 Abs. 1 lit. f DSGVO.

Sicherheitsmaßnahmen: Honeypot-Feld zur Bot-Abwehr, Rate-Limit (max. 10 Analysen / 3 PDF-Anfragen pro Minute und IP), ausschließliche Übertragung via HTTPS (TLS), keine Weitergabe der Eingabedaten an Dritte über die in Abschnitt 5 genannten Auftragsverarbeiter hinaus.

KI-Transparenz (Art. 50 EU AI Act): Module mit KI-Komponente (z. B. AI-Readiness Check, Module zur inhaltlichen Bewertung) werden im erzeugten PDF-Bericht als KI-gestützt erstellt gekennzeichnet; die Berichte der kostenlosen Online-Tools werden automatisiert erzeugt und nicht einzeln von Menschen geprüft.

Es werden ausschließlich Geschäftsdaten verarbeitet (Firmenname, Website-URL, Marketingkennzahlen). Personenbezogene Daten Ihrer Endkunden werden nicht an KI-Systeme übermittelt.

Datenflüsse im AI Check (step-seeds.de/check/ai): Die Prüfung der eingegebenen Website (Abruf öffentlicher Seiten, robots.txt, Sitemap, strukturierte Daten) läuft auf unserem Server bei Hetzner in Deutschland. Für die Prüfung, ob die Marke als Entität bekannt ist, wird der Markenname an die Google Knowledge Graph Search API (Google LLC, USA) übermittelt. Für die Stichprobe zur Nennung in KI-Antworten werden Domain und Suchbegriff über OpenRouter, Inc. (USA) an frei verfügbare offene Sprachmodelle (derzeit Nvidia Nemotron, Google Gemma, MiniMax) gesendet; die Modelle werden von Anbietern betrieben, die auch außerhalb der EU sitzen können. Übermittelt werden dabei nur öffentliche Geschäftsangaben (Markenname, Domain, Suchbegriff), keine E-Mail-Adresse und keine Angaben zu Ihren Endkunden. Geht eine Marke oder Domain auf eine natürliche Person zurück, kann auch diese Angabe einen Personenbezug haben; die Übermittlung dient dann der von Ihnen angefragten Prüfung (Art. 6 Abs. 1 lit. b DSGVO). Der PDF-Bericht wird über Brevo (Sendinblue SAS, Frankreich) versandt.

Drittlandtransfer: Die Datenübermittlung in die USA (Anthropic, OpenAI, OpenRouter, Google, DataForSEO, Resend, Sentry) erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Hetzner verarbeitet ausschließlich in Deutschland, kein Drittlandtransfer. Gemäß Art. 50 der EU-KI-Verordnung (Verordnung (EU) 2024/1689) weisen wir transparent auf den KI-Einsatz hin. Die KI dient als analytisches Hilfsmittel, nicht als Entscheidungsinstanz.

5c. KI-Voice-Agent im Website-Widget

Im Chat-Widget unserer Website bieten wir neben dem Text-Chat auch einen Anruf-Tab („🎙️ Anruf") an (Web-Demo), über den Sie direkt im Browser (Mikrofon-Berechtigung erforderlich) mit einem KI-gestützten Sprachassistenten sprechen können. Es handelt sich nicht um einen Telefonanruf: Es gibt keine geschäftliche Rufnummer für den Voice-Agent, keine Anrufweiterleitung und keine Erhebung einer Anrufer-Telefonnummer (Caller-ID). Vor dem Start erscheint ein Hinweisfenster, das transparent informiert, dass Sie mit einem KI-System sprechen (Art. 50 Abs. 1 EU-KI-Verordnung). Der Assistent beantwortet Fragen zu Angebot und Methodik und verweist bei komplexen Anfragen auf einen menschlichen Ansprechpartner.

Information vor Gesprächsbeginn (Art. 13 DSGVO): Das Hinweisfenster nennt (1) den Hinweis, dass es sich um ein KI-System handelt (Art. 50 EU AI Act), (2) dass das Mikrofon-Audio nur live in Text umgewandelt und nicht als Audio aufgezeichnet wird, (3) dass das Gesprächsprotokoll als Text zur Bearbeitung Ihrer Anfrage gespeichert wird, sowie (4) den Verweis auf diese Datenschutzerklärung und auf Ihre Betroffenenrechte (siehe Abschnitt 8). Mit dem Klick auf „Einverstanden" starten Sie das Gespräch.

Was verarbeitet wird:

• Mikrofon-Audio während des Gesprächs (nur zur Live-Transkription; es wird keine Audiodatei gespeichert)
• Gesprächsinhalt als Transkript
• Angaben, die Sie im Gespräch selbst machen: Ihr Name (freiwillig; der Assistent fragt am Gesprächsende danach), der Name Ihres Unternehmens sowie Ihre Antworten auf die Qualifizierungsfragen (Branche, Mitarbeiterzahl, aktuelles Marketing-Problem, wer Maßnahmen umsetzen würde). Eine Telefonnummer oder ein Rückrufzeitpunkt wird nur gespeichert, wenn Sie diese im Gespräch von sich aus für einen Rückruf nennen.
• Technische Herkunftsangaben zum Gesprächsbeginn: aufgerufene Seite, verweisende Seite (Referrer), Kampagnenparameter (UTM) und Gerätetyp (mobil oder Desktop). Diese Angaben werden mit dem Gespräch an Vapi übermittelt und erscheinen in der Benachrichtigung an uns, damit wir Anfragen ihrer Quelle zuordnen können.
• Daraus abgeleitet: eine Tarifempfehlung (S, M oder L), das erkannte Tarif-Interesse und eine interne Bewertung der Anfrage (Lead-Score)
• Ihre E-Mail-Adresse wird am Telefon nicht abgefragt. Nach dem Gespräch können Sie sie freiwillig selbst in das Kontaktformular eintragen; nur dann erhalten Sie eine Bestätigungs-E-Mail mit der Gesprächszusammenfassung.

Automatisierte Unterstützung (Art. 22 DSGVO): Die Tarifempfehlung und der Lead-Score sind eine automatisierte Einschätzung als Hilfsmittel für das Gespräch und für unsere interne Bearbeitung. Sie entfalten keine rechtliche oder ähnlich erhebliche Wirkung für Sie: Es kommt dadurch kein Vertrag zustande, es ändern sich keine Preise oder Konditionen, und eine Bestellung erfolgt nur, wenn Sie diese selbst auslösen. Auf Wunsch prüft eine Person bei uns die Einschätzung.

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung): für die aus dem Gespräch abgeleiteten geschäftsrelevanten Daten (Name, Firmenname, Qualifizierungsantworten, Tarif-Interesse und Tarifempfehlung, Anliegen, gegebenenfalls Rückrufwunsch). Diese Daten werden unabhängig von der Audio-Einwilligung verarbeitet, da sie zur Bearbeitung der Anfrage erforderlich sind.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): für die Sprachverarbeitung (Mikrofon-Audio, Live-Transkript, Gesprächsprotokoll). Sie willigen durch den Klick auf „Einverstanden" im Hinweisfenster ein. Sie können die Einwilligung jederzeit widerrufen, indem Sie das Gespräch beenden und uns unter info@step-seeds.de schreiben; der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Soweit dabei Daten in die USA übermittelt werden, stützen wir uns ergänzend auf Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung).
• Art. 50 EU AI Act: KI-Transparenz durch das Hinweisfenster vor Gesprächsbeginn („Sie sprechen mit einem KI-Assistenten").

Aufbewahrungsdauer:

• Audio: Es erfolgt keine Audioaufzeichnung.
• Transkript-Inhalte und Gesprächszusammenfassung (in Brevo und EspoCRM): bis zu 180 Tage, danach automatische Löschung. Wir stellen den Löschlauf derzeit auf 90 Tage um. Zweck der Speicherung: Rückruf und Nachverfolgung Ihrer Anfrage (Art. 6 Abs. 1 lit. b und lit. f DSGVO); danach ist die Speicherung nicht mehr erforderlich. Das gilt auch für Anfragen, aus denen später eine Kundenbeziehung wird: die Gesprächsinhalte werden nach Ablauf der Frist entfernt.
• Lead-Datensatz (Name, Firmenname, Tarif-Interesse): ohne Rückmeldung von Ihnen und ohne Bearbeitung durch uns bis zu 180 Tage (Umstellung auf 90 Tage in Arbeit), danach Löschung des gesamten Datensatzes. Bei einer qualifizierten Anfrage (in Bearbeitung) bis zum Abschluss der Vertragsanbahnung, automatische Löschung 24 Monate nach der letzten Änderung des Datensatzes; im Kundenverhältnis für die Dauer der Geschäftsbeziehung zuzüglich der gesetzlichen Aufbewahrungsfristen. Sie können der Speicherung jederzeit widersprechen.
• Vapi-Logs (technische Gesprächs-Metadaten): bis zu 90 Tage
• Kurzzeitiger Zwischenspeicher für die Bestätigungs-E-Mail: Falls Sie im Anschluss an den Anruf unser Kontaktformular ausfüllen, wird die vom KI-Assistenten selbst erstellte Gesprächszusammenfassung für maximal 7 Tage zwischengespeichert, um sie in die Bestätigungs-E-Mail an Sie aufzunehmen; danach automatische Löschung (kein Rohtranskript, keine erneute KI-Verarbeitung Ihrer Angaben).

Eingesetzte Auftragsverarbeiter:

Vapi Inc. (USA) als Auftragsverarbeiter sowie als Unterauftragsverarbeiter Daily, Inc. und Deepgram Inc. (beide USA); OpenAI (USA); jeweils auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Sprachsynthese erfolgt über Microsoft Azure (Microsoft Ireland Operations Limited, Dublin, Irland) als Unterauftragsverarbeiter von Vapi auf Grundlage des Auftragsverarbeitungsvertrags mit Vapi; eine Übermittlung in die USA ist möglich und durch Standardvertragsklauseln abgesichert. Details siehe Abschnitt 5 oben.

Hinweis zur Datenschutz-Folgenabschätzung: Für die aktuelle technische Konfiguration des Voice-Agents (Web-Widget, Vapi, Microsoft Azure, Deepgram, OpenAI) haben wir eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchgeführt (Stand September 2026). Bei Änderungen der Konfiguration wird sie aktualisiert.

Ihre Rechte: Sie können jederzeit Auskunft über Ihre gespeicherten Daten erhalten oder deren Löschung verlangen, schriftlich oder per E-Mail an info@step-seeds.de bzw. info@step-seeds.de. Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO).

5c2. KI-Text-Chat im Website-Widget

Im Chat-Widget können Sie Fragen an einen KI-Assistenten stellen. Vor der ersten Nachricht erscheint ein Hinweisfenster (Art. 50 EU AI Act, 90 Tage Speicherdauer, Hinweis auf Fachpersonen bei Rechts-, Steuer- und Gesundheitsfragen). Ihre Nachrichten werden über unseren selbst betriebenen Workflow-Server bei Hetzner in Deutschland (derselbe Server wie für die Chat-Assistenten der übrigen Plattformen der DigMa Systems UG (haftungsbeschränkt)) an das KI-Modell GPT-4o mini von OpenAI übermittelt (Vertragspartner OpenAI Ireland Limited, Dublin; eine Verarbeitung durch verbundene Unternehmen in den USA ist möglich, Auftragsverarbeitungsvertrag mit Standardvertragsklauseln; nach Angaben des Anbieters keine Nutzung zum Training, Speicherung zur Missbrauchserkennung bis zu 30 Tage); die Antwort erscheint im Widget. Der Chatverlauf wird zur Qualitätssicherung bis zu 90 Tage gespeichert und danach gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage) und lit. f DSGVO (Qualitätssicherung). Bitte geben Sie im Chat keine sensiblen Daten ein. Falls Sie danach das Kontaktformular nutzen, können Ihre letzten Nachrichten als Textvorschlag übernommen werden; Sie sehen und ändern den Text vor dem Absenden.

Auswertung und Missbrauchsabwehr: Wir werten die gespeicherten Chatverläufe aus, um zu verstehen, welche Fragen Besucher stellen, den Chat zu verbessern und Manipulationsversuche zu erkennen. Dazu speichern wir je Unterhaltung den Zeitpunkt sowie Land und Stadt, die lokal aus Ihrer IP-Adresse abgeleitet werden. Die IP-Adresse selbst wird dafür nicht gespeichert und nicht an Dritte übermittelt; eine tagesbezogene Kennung, die nach einem Tag gelöscht wird, dient nur dazu, Nachrichten derselben Unterhaltung zusammenzuführen. Längere Unterhaltungen werden mit Hilfe eines KI-Dienstleisters (Auftragsverarbeiter: OpenRouter, Inc., USA; die Verarbeitung erfolgt ohne Datenspeicherung beim Modellanbieter über Amazon Web Services oder Google Cloud) kurz zusammengefasst; Kontaktdaten werden vorher maskiert. Kontaktdaten, die Sie im Chat selbst angeben (z. B. E-Mail-Adresse oder Telefonnummer), verwenden wir nur, um Ihre Anfrage zu beantworten. Nachrichten, die auf eine akute Notlage hindeuten, beantwortet der Chat mit festen Hilfehinweisen (Notruf 112, TelefonSeelsorge) und speichert sie nicht im Wortlaut. Nachrichtentext, Kontaktangaben und Zusammenfassung werden nach 90 Tagen gelöscht, statistische Kennzahlen (Anzahl, Land, Stadt) nach spätestens 365 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Qualitätssicherung, Missbrauchsabwehr, Verbesserung des Angebots). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

5d. Kundenbindungsprogramm: Treuebonus (Tracking-Abonnement)

Zur Erfüllung der in unseren AGB (§ 3 Abs. (3a) bis (3d)) verankerten Treuebonus-Zusage betreiben wir ein internes Kundenbindungssystem. Hat der Kunde das optionale STEP/SEEDS® Tracking-Abonnement (€ 39,00/Monat, keine Mindestlaufzeit) für sechs unmittelbar aufeinanderfolgende Abrechnungsmonate gezahlt, entsteht ein Treuebonus (Preisnachlass) in Höhe von 100,00 € als einmaliger Preisnachlass auf eine nachfolgende kostenpflichtige Diagnose-Bestellung (S, M oder L) desselben Kunden; es ist 12 Monate ab Entstehung gültig. Eine Auszahlung in bar oder per Überweisung (Cash-Back) sowie eine Übertragung auf Dritte sind ausgeschlossen.

Was verarbeitet wird:

• Kunden-Identifier, Firmenname, Rechnungsadresse, geschäftliche E-Mail
• Abonnement-Start-Datum, Anzahl bezahlter Monate, Zahlungshistorie (nur Ja/Nein pro Monat, keine Karten- oder Kontodaten)
• Betrag des Preisnachlasses in EUR, Entstehungszeitpunkt, Verfallsdatum, Zeitpunkt und Betrag der Einlösung, Referenz-Nummer der zugehörigen Diagnose-Bestellung

Rechtsgrundlage:

• Art. 6 Abs. 1 lit. b DSGVO: Erfüllung des Tracking-Abonnements einschließlich der vertraglich zugesagten Treuebonus-Regelung (AGB § 3 Abs. (3a) bis (3d)).
• Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB: für die buchhalterische Dokumentation der Einlösung des Preisnachlasses als Preisnachlass auf der Folge-Rechnung.

Speicherdauer:

• Stand des Treuebonus: für die Dauer des Tracking-Abonnements zzgl. max. 12 Monate Gültigkeit des Preisnachlasses nach Freischaltung. Bei vollständiger Einlösung oder Verfall Löschung der aktiven Datensätze innerhalb von 30 Tagen.
• Buchungsbeleg zur Einlösung des Preisnachlasses: zusätzlich 10 Jahre gemäß § 147 AO, § 257 HGB (eingeschränkte Verarbeitung nach Art. 18 DSGVO).

Empfänger:

Intern (Verantwortlicher, Buchhaltung/Steuerberater der DigMa Systems UG (haftungsbeschränkt)); technisch: EspoCRM (self-hosted, Hetzner Deutschland) für die Kundensicht und, sobald im Einsatz, sevdesk (sevdesk GmbH, Deutschland) für die buchhalterische Erfassung der Einlösung des Preisnachlasses. Zahlungsdienstleister (Mollie / PayPal) erhalten ausschließlich die reduzierte Endsumme, keine Historie des Treuebonus. Kein Drittlandtransfer.

Ihre Rechte:

Sie können jederzeit Auskunft über Ihren aktuellen Treuebonus-Stand (Art. 15 DSGVO) und die Übermittlung Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO) verlangen. Verlangen Sie die Löschung Ihrer Daten (Art. 17 DSGVO) vor Einlösung oder Verfall eines freigeschalteten Preisnachlasses, verfällt dieser ersatzlos, ein Cash-Back ist nicht möglich (§ 3 Abs. (3c), (3d) AGB gilt entsprechend). Der handels- und steuerrechtliche Buchungsbeleg über eine bereits erfolgte Einlösung des Preisnachlasses bleibt aufgrund der Aufbewahrungspflicht nach § 147 AO für 10 Jahre in eingeschränkter Verarbeitung erhalten (Art. 17 Abs. 3 lit. b DSGVO). Anfragen bitte an info@step-seeds.de.

Vollständige vertragliche Bedingungen des Treuebonus-Programms (Erwerb, Höhe, Gültigkeit, Verfall, Cash-Back-Ausschluss, Verrechnung auf der Rechnung) finden Sie in den AGB § 3 Abs. (3a) bis (3d). Der Treuebonus stellt einen fix betragsmäßigen Preisnachlass auf eine nachfolgende Bestellung dar; es handelt sich nicht um ein separates entgeltliches Punkte- oder Statusprogramm mit eigener Währung.

5e. Datenübermittlung in Drittländer (konsolidierte Übersicht)

Daten werden in die USA übermittelt, da folgende Auftragsverarbeiter dort (oder über US-Mutterkonzern) ansässig sind: KI-Anbieter für Diagnose und Chatbot (Anthropic, PBC; OpenAI), SEO- und Marktdaten (DataForSEO LLC), KI-Gateway für Tracking-Abo-Widgets (OpenRouter, Inc.), transaktionaler E-Mail-Versand (Resend, Inc.), Error Monitoring (Sentry / Functional Software, Inc., Verarbeitung in EU-Region Frankfurt, SCCs für etwaige US-Übermittlungen), Voice-Agent-KI-Orchestrierung (Vapi, Inc.), Voice-Agent-Spracherkennung (Deepgram, Inc.) sowie Voice-Agent-Antwortgenerierung (OpenAI). Voice-Agent-Sprachsynthese erfolgt über Microsoft Azure (Microsoft Ireland Operations Limited, Dublin, Irland) als Unterauftragsverarbeiter von Vapi; eine Verarbeitung in den USA ist möglich. Die Auslieferung der Website erfolgt über Cloudflare, Inc. (USA, siehe Abschnitt 3a). Für die WebRTC-Übertragung des Voice-Agents wird zusätzlich Daily, Inc. (USA) eingesetzt.

Nicht im Drittland (Verarbeitung innerhalb EU/EWR): Hetzner Online GmbH (Hosting, Datenbank, EspoCRM- und n8n-Server), Rechenzentrum Nürnberg, Deutschland; EspoCRM (self-hosted) und n8n (self-hosted), ausschließlich auf dem Hetzner-Server in Deutschland.

Eine geschäftliche Telefonnummer für den Voice-Agent ist derzeit nicht aktiv; der Voice-Agent ist ausschließlich über das Website-Widget erreichbar (siehe Abschnitt 5c). Sollte künftig eine Telefonanbindung (z. B. über sipgate GmbH, Düsseldorf) in Betrieb genommen werden, wird diese Erklärung vorab entsprechend ergänzt.

Die USA gilt nach EU-Recht nicht als Land mit einem angemessenen Datenschutzniveau im Sinne von Art. 45 DSGVO (außer für zertifizierte Unternehmen im Rahmen des EU-US Data Privacy Framework).

Garantien für den Drittlandtransfer:

Standardvertragsklauseln (SCCs): Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021).

Transfer Impact Assessment (TIA): Für die Übermittlungen an die KI-Anbieter der Berichtserstellung und an die Anbieter des Voice-Agents haben wir Transfer-Folgenabschätzungen dokumentiert; danach werden die Übertragungsrisiken durch die umgesetzten Schutzmaßnahmen auf ein vertretbares Maß reduziert. Für den Voice Agent wurde zusätzlich eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchgeführt; siehe Abschnitt 5c.

EU-US Data Privacy Framework: Zusätzlich, soweit die jeweiligen Anbieter unter dem EU-US Data Privacy Framework zertifiziert sind, stützt sich die Übermittlung auch auf diesen Angemessenheitsbeschluss gemäß Art. 45 DSGVO. Grundlage ist in jedem Fall der Abschluss von Standardvertragsklauseln.

Ergänzende Maßnahmen: Minimierung der übertragenen Daten (nur für den Analysezweck erforderliche Daten), soweit nach den Angaben der Anbieter möglich keine dauerhafte Speicherung bei KI-Anbietern, vertragliche Verpflichtung zur Vertraulichkeit.

5f. Stand der Auftragsverarbeitungsverträge (Art. 28 DSGVO)

Mit OpenRouter, Resend, Hetzner, Sentry und Brevo bestehen gesondert dokumentierte Auftragsverarbeitungsverträge. Für Anthropic und OpenAI besteht eine Auftragsverarbeitung nur, soweit der jeweils genutzte Zugang sie umfasst; Daten von Endkunden unserer Auftraggeber geben wir in diese Dienste nicht ein. Mit weiteren Anbietern (z. B. Vapi, Cloudflare, Google-Schnittstellen, DataForSEO, UptimeRobot) bestehen Auftragsverarbeitungsverträge als Bestandteil der online akzeptierten Vertragsbedingungen. Daily, Deepgram und Microsoft Azure (Sprachsynthese) sind als Unterauftragsverarbeiter über den Vertrag mit Vapi erfasst (Art. 28 Abs. 4 DSGVO). Perplexity und KIE.ai erhalten keine personenbezogenen Daten; eine Auftragsverarbeitung liegt insoweit nicht vor. Mollie, PayPal und sevdesk sind noch nicht im Einsatz; die Verträge folgen bei Aktivierung. Wir aktualisieren diese Übersicht bei Änderungen.

5a. Speicherdauer (Übersicht)

Personenbezogene Daten werden nur so lange gespeichert, wie es für die Erfüllung der jeweiligen Zwecke erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO):

6. Cookies

Diese Website setzt Analyse- und Marketing-Cookies nur mit Ihrer ausdrücklichen Einwilligung (Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Beim ersten Besuch wird ein Cookie-Banner angezeigt, in dem „Alle akzeptieren" und „Alle ablehnen" gleichwertig zur Wahl stehen. Erst nach Zustimmung werden Analyse-Cookies gesetzt und Google-Dienste geladen. Die Kategorie „Marketing / Werbung“ ist getrennt schaltbar und standardmäßig ausgeschaltet. Sie betrifft Google Signals (siehe Abschnitt 7) und die Consent-Mode-Signale ad_storage, ad_user_data und ad_personalization. Technisch notwendige Speichertechnologien (z. B. localStorage und das Cookie mit Ihrer Auswahl) werden für die Funktionalität der Website eingesetzt und bedürfen keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Ihre Auswahl können Sie jederzeit über das Fingerabdruck-Symbol (Cookie-Einstellungen) ändern oder widerrufen. Bei einem Widerruf der Kategorie „Statistik“ löschen wir die Google-Cookies (_ga, _ga_*, _gid, _gcl_*) und laden die Seite neu. Bei einem Widerruf nur der Kategorie „Marketing / Werbung“ werden die Werbe-Signale sofort auf „abgelehnt“ gesetzt und Werbe-Cookies (_gcl_*, _gac_*) gelöscht. Die Einwilligung wird ohne personenbezogene Angaben als Cookie gespeichert (Auswahl, Zeitstempel, Version dieser Erklärung, Laufzeit 12 Monate). Ändert sich diese Erklärung wesentlich, fragen wir erneut.

Kundenkonto: Wenn Sie ein Kundenkonto nutzen, verarbeiten wir Ihre E-Mail-Adresse, ein als Hash gespeichertes Passwort und die Zuordnung zu Ihrem Dashboard. Bei der Anmeldung legen wir eine Sitzung mit Sitzungskennung, Ablaufzeit und IP-Adresse an. Dafür setzen wir die Cookies ss_client (Sitzung) und ss_client_hint (Anzeige der Anmeldung in der Navigation) sowie den Eintrag ss_last_client im lokalen Speicher Ihres Browsers (zuletzt geöffnetes Dashboard). Diese Speicherungen sind für die von Ihnen gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Eine Sitzung läuft nach 12 Stunden ab, abgelaufene Sitzungen löschen wir nach weiteren 7 Tagen. Der Eintrag im lokalen Speicher wird bei der Abmeldung entfernt. Das Konto bleibt, solange es besteht.

7. Analyse-Tools

Google Tag Manager

Diese Website nutzt den Google Tag Manager (GTM) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. GTM ist ein technisches Hilfsmittel zur Verwaltung von Website-Tags und setzt selbst keine Cookies. Der GTM-Container wird erst nach Ihrer ausdrücklichen Einwilligung in die Kategorie „Statistik" geladen. Ohne Einwilligung wird keine Verbindung zu Google aufgebaut und Ihre IP-Adresse nicht an Google übermittelt; die Consent-Mode-v2-Voreinstellung („abgelehnt") wird dabei nur lokal in Ihrem Browser gesetzt. Widerrufen Sie Ihre Einwilligung, werden die Google-Cookies gelöscht und die Seite wird neu geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung).

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO: Für Google Tag Manager gelten die Google Ads Data Processing Terms (Auftragsverarbeitung) mit Google Ireland Limited; die Annahme im Google-Konto wird vor Verkaufsstart bestätigt. Die Bedingungen sind einsehbar unter business.safety.google/adsprocessorterms. Drittlandtransfer in die USA: Google LLC ist unter dem EU-US Data Privacy Framework (DPF, Adequacy Decision der EU-Kommission vom 10.07.2023) zertifiziert. Zusätzlich liegen EU-Standardvertragsklauseln (SCC, Beschluss 2021/914) vor.

Google Analytics 4

Über den Google Tag Manager wird Google Analytics 4 (GA4) eingebunden. GA4 erfasst pseudonyme Nutzungsdaten (Seitenaufrufe, Verweildauer, Geräteinformationen, zufällig vergebene Kennungen). Diese Daten sind pseudonym, nicht anonym, und können über Kennungen wiedererkannt werden. Nach Angaben von Google werden IP-Adressen in GA4 nicht protokolliert oder gespeichert. Messung und Cookies setzen erst nach Ihrer Einwilligung in die Kategorie „Statistik“ über das Cookie-Banner ein. Aufbewahrung: Ereignisdaten 2 Monate, Daten auf Nutzerebene bis zu 14 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit über das Cookie-Banner (Fingerabdruck-Symbol) widerrufen.

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO: Für die Nutzung von Google Analytics 4 gelten die Google Ads Data Processing Terms mit Google Ireland Limited; die Annahme im Google-Konto wird vor Verkaufsstart bestätigt. Für Drittlandtransfer in die USA gilt das EU-US Data Privacy Framework (DPF) sowie EU-Standardvertragsklauseln (SCC, Beschluss 2021/914). Die Google-Zertifizierung im DPF ist einsehbar unter dataprivacyframework.gov/list.

Google Signals und Marketing-Einwilligung

Google Signals ist eine Funktion von Google Analytics. Sie verknüpft Analytics-Daten mit Daten von Nutzern, die in ihrem Google-Konto angemeldet sind und dort personalisierte Werbung zugelassen haben. Wir nutzen sie für geräteübergreifende sowie demografische und interessenbezogene Berichte. Die Funktion wird nur wirksam, wenn Sie zusätzlich zur Kategorie „Statistik“ der Kategorie „Marketing / Werbung“ zustimmen. Diese Kategorie ist standardmäßig ausgeschaltet und steuert über Google Consent Mode v2 die Signale ad_storage, ad_user_data und ad_personalization. Ohne Ihre Zustimmung bleiben diese Signale auf „abgelehnt“.

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an die Google LLC in den USA ist möglich; sie stützt sich auf den EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über das Fingerabdruck-Symbol (Cookie-Einstellungen) widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Speicherdauer in unserer Google-Analytics-Property: Ereignisdaten 2 Monate, Daten auf Nutzerebene bis zu 14 Monate. Die Berichte sind aggregiert; wir nutzen sie nicht, um einzelne Personen zu identifizieren.

7a. Fehler- und Performance-Monitoring (Sentry)

Zur Erkennung, Analyse und Behebung technischer Fehler nutzen wir den Dienst Sentry der Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Beim Auftreten technischer Fehler werden automatisch folgende Informationen an Sentry übermittelt: Fehlermeldung und Stack Trace, URL der besuchten Seite, Browser-Typ und -Version, Betriebssystem, Bildschirmauflösung und Zeitstempel des Fehlers. Beim Verbindungsaufbau ist Ihre IP-Adresse technisch für Sentry sichtbar; Cookies und Eingabefelder werden standardmäßig nicht übertragen (sendDefaultPii: false). Ohne Ihre Einwilligung findet keine Aufzeichnung von Sitzungen (Session-Replay) und keine Leistungsmessung statt; übermittelt werden dann nur Daten zu technischen Fehlern (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren und fehlerfreien Betrieb).

Nur mit Einwilligung (Kategorie „Statistik“ im Cookie-Banner): Haben Sie in „Statistik“ eingewilligt, aktivieren wir ab dem nächsten Seitenaufruf zusätzlich (1) eine Leistungsmessung für einen Teil der Seitenaufrufe (Ladezeiten, Seitenwechsel), (2) technische Protokollmeldungen der Anwendung und (3) eine Aufzeichnung des Seitenablaufs ausschließlich dann, wenn in dieser Sitzung ein Fehler auftritt. Eine allgemeine Aufzeichnung von Sitzungen ohne Fehler findet nicht statt. Die Aufzeichnung maskiert sämtliche Texte und Eingabefelder und blendet Medieninhalte aus, bevor Daten übertragen werden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Sie können sie jederzeit über das Fingerabdruck-Symbol (Cookie-Einstellungen) widerrufen.

Datenspeicherung: Die Verarbeitung erfolgt in der EU-Region (Frankfurt am Main, Deutschland). Da Sentry eine Gesellschaft mit Sitz in den USA ist, kann ein Zugriff aus einem Drittland nicht ausgeschlossen werden; wir stützen uns insoweit auf Standardvertragsklauseln. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wurde mit Sentry abgeschlossen und ist unter sentry.io/legal/dpa einsehbar. Die Datenschutzerklärung von Sentry finden Sie unter sentry.io/privacy.

Speicherdauer: Fehlerdaten werden für maximal 90 Tage gespeichert, Session-Wiederholungen für 30 Tage, anschließend automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien und sicheren Bereitstellung unserer Website). Sie haben das Recht, dieser Verarbeitung jederzeit zu widersprechen (siehe Abschnitt „Ihre Rechte").

8. Ihre Rechte als betroffene Person (Betroffenenrechte nach DSGVO)

Als von der Datenverarbeitung betroffene Person stehen Ihnen die folgenden Betroffenenrechte zu. Insbesondere haben Sie ein Auskunftsrecht (Art. 15 DSGVO), ein Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO) sowie ein Widerspruchsrecht (Art. 21 DSGVO). Sie haben jederzeit das Recht auf:

• Auskunftsrecht / Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung (Art. 7 Abs. 3 S. 2 DSGVO).
• Keine automatisierte Einzelentscheidung (Art. 22 DSGVO): Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. KI-gestützte Analysen dienen ausschließlich als Hilfsmittel; die finale Bewertung und Auslieferung erfolgt durch den Verantwortlichen persönlich.

Pflicht zur Datenbereitstellung (Art. 13 Abs. 2 lit. e DSGVO): Die Bereitstellung Ihrer Daten bei Nutzung des Kontaktformulars, der Online-Tools oder bei Beauftragung einer Diagnose ist für die Durchführung vorvertraglicher Maßnahmen bzw. zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ohne Angabe einer gültigen geschäftlichen E-Mail-Adresse und der jeweils abgefragten geschäftlichen Daten ist eine Bearbeitung Ihrer Anfrage bzw. Vertragsdurchführung nicht möglich. Eine gesetzliche Pflicht zur Datenbereitstellung besteht nicht.

Bitte wenden Sie sich dazu an: info@step-seeds.de oder info@step-seeds.de. Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO).

9. Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

10. Externe Links

Unser Angebot enthält Links zu externen Webseiten. Wir haben keinen Einfluss auf deren Inhalt und Datenschutzpraktiken. Bitte lesen Sie die jeweiligen Datenschutzerklärungen der verlinkten Seiten.

11. KI-Transparenz nach Art. 50 EU AI Act

STEP/SEEDS® setzt KI-gestützte Werkzeuge (Claude von Anthropic sowie Sprachmodelle von OpenAI) zur Erstellung von Marketing-Berichten ein. Im Einklang mit Art. 50 EU AI Act (Verordnung (EU) 2024/1689) wird der KI-Einsatz transparent gemacht:

• Auf Seite 1 jedes erstellten Berichts: KI-Transparenzhinweis
• Im Footer jedes Berichts: Methodik-Hinweis mit Tool-Auflistung
• Im Footer dieser Website: KI-Hinweis nach Art. 50 EU AI Act
• Im Blog blog.step-seeds.de: Kennzeichnung "Mit KI-Unterstützung erstellt und automatisiert geprüft" am Ende jedes Beitrags

Die KI-Werkzeuge dienen ausschließlich als analytisches Hilfsmittel. Generierte Berichte durchlaufen vor Auslieferung automatisierte Regel- und Qualitätsprüfungen und werden von uns gesichtet und freigegeben. Die Methodik bestimmt die Analyse, nicht die KI.

12. Datenschutzvorfälle (DSGVO Art. 33/34)

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, melden wir den Vorfall der zuständigen Aufsichtsbehörde (BayLDA) unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko werden die betroffenen Personen ebenfalls unverzüglich benachrichtigt (Art. 34 DSGVO). Wir führen ein internes Incident-Response-Playbook und dokumentieren jeden Vorfall vollständig.

13. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir setzen geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Zu den getroffenen Maßnahmen zählen insbesondere:

• Verschlüsselung der Datenübertragung: Alle Verbindungen zur Website und zu unseren Online-Tools erfolgen ausschließlich über HTTPS (TLS 1.2 / 1.3); HTTP wird automatisch zu HTTPS weitergeleitet.
• Zugangsbeschränkung: Zugriff auf personenbezogene Daten (CRM, Workflow-Automatisierung, Server) ist auf autorisierte Personen beschränkt und erfordert SSH-Schlüssel-Authentifizierung sowie Zwei-Faktor-Authentifizierung für Verwaltungsoberflächen.
• Datensparsamkeit: Es werden ausschließlich die für den jeweiligen Zweck erforderlichen Daten erhoben und verarbeitet (Art. 5 Abs. 1 lit. c DSGVO).
• Pseudonymisierung: Technische Logs und Fehlerberichte werden vor Übermittlung an externe Dienste (Sentry) von direkten Personenkennzeichen bereinigt (sendDefaultPii: false; Maskierung von Texten und Eingabefeldern in Session-Replays).
• Datensicherung: Tägliche Datensicherungen, die sieben Tage aufbewahrt werden; sie liegen auf demselben Server.
• Schutz vor Missbrauch: Rate-Limit auf öffentlichen Endpunkten (Formulare, Tool-APIs), Honeypot-Felder zur Bot-Abwehr, fail2ban und Firewall auf Server-Ebene, Cloudflare als vorgeschalteter Grundschutz.
• Automatische Abmeldung: Im Kunden-Dashboard beenden wir Ihre Sitzung im Browser nach 30 Minuten ohne Aktivität. Eine Minute vorher erscheint ein Hinweis mit der Möglichkeit, angemeldet zu bleiben. Auf fremden oder gemeinsam genutzten Geräten melden Sie sich bitte nach der Nutzung selbst ab.
• Überprüfung: Die Sicherheitsmaßnahmen werden bei Bedarf überprüft und angepasst.
• Auftragsverarbeiter-Management: Bei der Auswahl von Auftragsverarbeitern prüfen wir die Sicherheitsangaben der Anbieter. Zum Stand der Verträge siehe Abschnitt 5f.

Die vollständige interne TOM-Dokumentation ist auf behördliche Anfrage verfügbar (Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht).

14. Hinweis zur B2B-Ausrichtung

STEP/SEEDS® erbringt seine Leistungen ausschließlich gegenüber Unternehmern (§ 14 BGB). Diese Datenschutzerklärung beschreibt die Verarbeitung von Geschäftsdaten der Auftraggeber sowie der Kontaktdaten der Ansprechpartner (natürliche Personen, die in Vertretung des Unternehmens handeln). Besucher der Website, Anfragende und Nutzer der Chat- und Voice-Funktion können auch Verbraucher sein; deren Daten verarbeiten wir nach dieser Erklärung.

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der rechtlichen Grundlage, der angebotenen Dienstleistungen oder der eingesetzten Technologien anzupassen. Die jeweils aktuelle Version ist auf unserer Website step-seeds.de abrufbar. Wesentliche Änderungen teilen wir unseren Kunden gesondert mit (z. B. per E-Mail).

16. Interne Datenschutz-Dokumentation

Über die Pflichtangaben dieser Datenschutzerklärung hinaus führt der Verantwortliche folgende interne Datenschutz-Dokumentation, die auf Anfrage der zuständigen Aufsichtsbehörde (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA) jederzeit vorgelegt werden kann:

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO
• Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO für die STEP/SEEDS®-Methodik (KI-Einsatz über Anthropic Claude und Sprachmodelle von OpenAI, Drittlandtransfer in die USA) sowie eine gesonderte DSFA für den Voice Agent (browserbasiertes Sprach-Widget, keine Telefonnummer), siehe Abschnitt 5c
• Dokumentation der Drittlandtransfers nach Art. 44 bis 49 DSGVO inklusive abgeschlossener EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und Transfer Impact Assessments für die KI-Anbieter und den Voice-Agent
• Übersicht aller Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit gesicherten DPA-PDFs als Evidenz
• Incident-Response-Playbook für Datenschutzverletzungen mit dokumentiertem 72-Stunden-Meldeverfahren nach Art. 33 DSGVO und Benachrichtigungsverfahren nach Art. 34 DSGVO
• EU-AI-Act-Compliance-Assessment nach Verordnung (EU) 2024/1689, insbesondere zu den Transparenzpflichten gemäß Art. 50 EU AI Act

Diese Dokumente werden nicht öffentlich gemacht, um den Schutz der dokumentierten internen Sicherheitsmaßnahmen nicht zu gefährden, sind jedoch jederzeit auf behördliche Anfrage zugänglich (Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht).

Stand: Oktober 2026