Datenschutzerklärung

1. Verantwortlicher und Kontaktdaten

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

PlasticSurf, Einzelunternehmen
Inhaber: Martin Kalinowski
Guntramstraße 47
79106 Freiburg, Deutschland
Telefon: +49 173 95 444 20
E-Mail: mk@plasticsurf.de

2. Datenschutzbeauftragter

Für unser Unternehmen ist nach den gesetzlichen Vorgaben (Art. 37 DSGVO in Verbindung mit § 38 BDSG) derzeit kein Datenschutzbeauftragter zu benennen. Wenn Sie Fragen zum Datenschutz haben, können Sie sich jederzeit direkt an uns wenden (Kontaktdaten siehe Ziffer 1).

3. Grundlagen der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn dafür eine Rechtsgrundlage besteht. Je nach Vorgang stützen wir uns insbesondere auf:

• Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung (z. B. für Statistik und externe Medien).
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertragliche Maßnahmen (z. B. Anfragen, Terminvereinbarungen).
• Art. 6 Abs. 1 lit. f DSGVO – unsere berechtigten Interessen (z. B. sicherer Betrieb der Website, KI-Beratungs-Chat).
• § 25 TDDDG – für den Zugriff auf und die Speicherung von Informationen in Ihrem Endgerät (Abs. 1: mit Einwilligung; Abs. 2 Nr. 2: technisch unbedingt erforderlich).

TLS-/SSL-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine TLS-/SSL-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt.

Soweit in dieser Erklärung keine speziellere Angabe gemacht wird, speichern wir personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist (siehe Ziffer 15).

4. Bereitstellung der Website und Webhosting (STRATO)

Wir hosten diese Website auf einem virtuellen Server (VPS) der STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Die Server stehen in Deutschland. Die Website wird als statische Seite (erstellt mit dem Framework Astro) über diesen Server ausgeliefert; die Übertragung erfolgt verschlüsselt über TLS/HTTPS.

STRATO verarbeitet die beim Aufruf der Website anfallenden Daten in unserem Auftrag, um Ihnen die Inhalte technisch bereitzustellen und die Sicherheit und Stabilität des Servers zu gewährleisten. Grundlage hierfür ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und effizienten Betrieb einer professionellen Onlinepräsenz).

5. Server-Logfiles und Sicherheit

Beim Aufruf unserer Website werden technisch notwendige Zugriffsdaten automatisch in sogenannten Server-Logfiles protokolliert. Dazu gehören in der Regel:

• IP-Adresse des anfragenden Endgeräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL und übertragene Datenmenge
• Herkunfts-URL (Referrer)
• Browsertyp und -version sowie Betriebssystem

Wir nutzen diese Daten, um Angriffe abzuwehren, die Stabilität und Sicherheit des Servers zu gewährleisten und technische Fehler zu analysieren. Die Logfiles werden in der Regel für bis zu 30 Tage gespeichert und anschließend automatisiert gelöscht, sofern kein Sicherheitsvorfall eine längere Aufbewahrung erfordert. Der separate Chat-Gateway-Server protokolliert keine Chat-Inhalte, sondern nur technische Metadaten für den Missbrauchsschutz (siehe Ziffer 7).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit, Stabilität und Abwehr von Angriffen).

6. Consent-Banner, Cookies und lokale Speicherungen

Beim ersten Besuch blenden wir Ihnen ein Informations- und Einstellungsfenster ein. Dort legen Sie fest, welche Datenverarbeitungen über technisch notwendige Vorgänge hinaus stattfinden dürfen. Wir setzen dafür keinen Drittanbieter-Consent-Dienst ein, sondern eine selbst entwickelte Lösung. Ihre Entscheidung speichern wir lokal in Ihrem Browser (localStorage-Eintrag ps-consent) zusammen mit einer Versionskennung und einem Zeitstempel, damit Ihre Auswahl bei weiteren Seitenaufrufen berücksichtigt werden kann und als Nachweis Ihrer Entscheidung dient.

Sie können folgende Kategorien einstellen:

• Essenziell (immer aktiv): technisch notwendig, damit Sie die Website sicher nutzen können.
• KI-Chat („AELYN") (standardmäßig aktiv): steuert, ob Ihnen der Beratungs-Chat technisch bereitgestellt wird. Die lokale Speicherung dient allein der Bereitstellung dieser ausdrücklich gewünschten Funktion; es findet kein nutzerübergreifendes Tracking statt.
• Statistik (standardmäßig aus): erlaubt uns pseudonymisierte Nutzungsstatistiken mit Google Analytics 4 (siehe Ziffer 9).
• Externe Medien (standardmäßig aus): steuert, ob eingebettete YouTube-Videos geladen werden dürfen (siehe Ziffer 9).

Die Kategorien „Statistik" und „Externe Medien" werden nur nach Ihrer Einwilligung aktiviert. Sie können Ihre Auswahl jederzeit über den entsprechenden Link/Knopf auf der Website ändern und Ihre Einwilligung für die Zukunft widerrufen.

Rechtsgrundlagen: Für technisch notwendige Speicherungen (Essenziell sowie Bereitstellung des KI-Chats) § 25 Abs. 2 Nr. 2 TDDDG; für Statistik und externe Medien § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

7. KI-Beratungs-Chat „AELYN"

Auf unserer Website bieten wir Ihnen den KI-gestützten Beratungs-Chat „AELYN" an. Sie können dort in freier Form Fragen zu unseren Leistungen stellen; das System antwortet aus unserer eigenen Wissensbasis. Die Nutzung ist freiwillig. Dass es sich um ein KI-System handelt, kennzeichnen wir im Chat sichtbar.

Welche Daten verarbeitet werden

Verarbeitet werden die von Ihnen eingegebenen Textnachrichten sowie technische Daten, die zur Auslieferung und zum Missbrauchsschutz erforderlich sind (insbesondere die IP-Adresse für ein Anfrage-Rate-Limit). Bitte geben Sie im Chat keine sensiblen Daten (z. B. Gesundheitsangaben) und keine unnötigen personenbezogenen Daten ein. Telefonnummern und E-Mail-Adressen, die dennoch in einer Nachricht enthalten sind, werden vor der Weitergabe an das KI-Modell automatisch entfernt (maskiert).

Datenweg und eingesetzte Dienste

Ihre Nachricht durchläuft folgende Stationen:

• Ihr Browser übermittelt die Nachricht an unser Gateway auf dem Server der STRATO AG in Deutschland.
• Dort erfolgt eine interne Suche in unserer eigenen Wissensbasis.
• Zur Erzeugung der Antwort wird die Anfrage über den Vermittlungsdienst OpenRouter (Sitz USA) an ein KI-Modell des Anbieters Nebius weitergeleitet. Das Modell („qwen3") rechnet nach Angaben des Anbieters in einem Rechenzentrum in der Europäischen Union.
• Die Antwort wird an Ihren Browser zurückgesendet.

Wir haben die Dienste so konfiguriert, dass nach Angaben der Anbieter keine Chat-Inhalte zu Trainingszwecken genutzt werden und für den öffentlichen Chat eine Zero-Data-Retention-Policy (keine dauerhafte Speicherung der Inhalte beim Modell-Anbieter) gilt. Der konkrete Status dieser Einstellungen und der vertraglichen Regelungen mit OpenRouter und Nebius wird von uns regelmäßig geprüft.

Speicherung und Gesprächsverlauf

Der Gesprächsverlauf wird nur lokal in Ihrem Browser für die Dauer der Sitzung gehalten; wir speichern ihn nicht dauerhaft auf unserem Server. Die beim Gateway anfallenden technischen Protokolldaten (z. B. für das Rate-Limit) werden nur zum Missbrauchsschutz genutzt und regelmäßig gelöscht.

KI-Kennzeichnung, keine automatisierten Entscheidungen

Der Chat ist als KI-System gekennzeichnet, sodass Sie jederzeit erkennen, dass Sie mit einer KI und nicht mit einer natürlichen Person interagieren (Transparenzpflicht nach Art. 50 EU AI Act). Es werden keine automatisierten Entscheidungen mit Rechtswirkung über Sie getroffen und keine Profile zu Werbe- oder Scoring-Zwecken erstellt.

Rechtsgrundlage

Wir stützen den Betrieb des KI-Chats auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihnen ein modernes, effizientes und jederzeit verfügbares Informations- und Beratungsangebot bereitzustellen. Bahnt sich über den Chat konkret eine Zusammenarbeit an (z. B. eine konkrete Anfrage zu einem Angebot), kann ergänzend Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) hinzutreten. Für die technisch notwendige lokale Speicherung des Sitzungsstatus in Ihrem Browser gilt § 25 Abs. 2 Nr. 2 TDDDG.

Ihre Rechte in Bezug auf Chat-Daten

Da wir keine dauerhafte Kopie Ihrer Chat-Inhalte auf unserem Server speichern, können wir Ihnen einen Chatverlauf nachträglich weder zusenden noch zentral löschen. Sie können den Verlauf jedoch jederzeit selbst löschen, indem Sie den Chat schließen bzw. den lokalen Speicher Ihres Browsers leeren. Ihre übrigen Rechte in Bezug auf Daten, die wir als Verantwortlicher verarbeiten (z. B. aus nachfolgender E-Mail- oder Terminkommunikation), bleiben unberührt (siehe Ziffer 14).

8. Kontaktmöglichkeiten und Kommunikation

Kontaktformular (in Vorbereitung)

Künftig stellen wir Ihnen ein Kontaktformular zur Verfügung, das über unser eigenes Gateway laufen wird. Wenn Sie es nutzen, verarbeiten wir die von Ihnen eingegebenen Daten (z. B. Name, E-Mail-Adresse, Nachricht), um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfragenbearbeitung, Vertragsanbahnung); bei allgemeinen Anfragen ohne konkreten Vertragsbezug Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Daten, solange dies für die Bearbeitung erforderlich ist; gesetzliche Aufbewahrungspflichten bleiben unberührt.

E-Mail und Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (bei vertragsbezogenen Anfragen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung Ihrer Anfrage).

Terminbuchung über Google Calendar

Auf unserer Website finden Sie einen Link/Button, über den Sie einen Gesprächstermin buchen können. Mit dem Klick werden Sie auf eine externe Terminseite von Google Calendar (calendar.app.google/…) weitergeleitet; wir binden diese Seite nicht in unsere Website ein. Auf der externen Seite verarbeitet Google personenbezogene Daten wie Ihren Namen, Ihre E-Mail-Adresse und die gewählten Termindaten, um den Termin bereitzustellen und Bestätigungen bzw. Erinnerungen zu senden; hierfür ist Google eigenständig verantwortlich. Es gelten die Datenschutzbestimmungen von Google.

Die zu Ihrem gebuchten Termin an uns übermittelten Angaben (Name, E-Mail-Adresse, Terminzeit, ggf. ergänzende Angaben) verarbeiten wir zur Vorbereitung und Durchführung des Termins auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Zur Datenübermittlung in die USA siehe Ziffer 13.

9. Nutzungsanalyse und externe Dienste

Google Analytics 4

Wenn Sie im Consent-Banner der Kategorie „Statistik" zustimmen, setzen wir Google Analytics 4 (GA4) ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (außerhalb der EU: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). GA4 wird technisch nur geladen, wenn die Einwilligung „Statistik" vorliegt und die Analyse für unsere Website aktiviert ist.

Dabei können insbesondere folgende Daten verarbeitet werden:

• gekürzte IP-Adresse
• technische Informationen zu Browser und Endgerät
• Interaktionen und aufgerufene Seiten
• Zeitangaben, Besuchsdauer und Klickpfade

Hinweis zur IP-Adresse: Google Analytics 4 erfasst IP-Adressen nur gekürzt, nutzt sie zur groben Standortbestimmung und speichert sie nach Angaben von Google nicht dauerhaft. Eine gesondert konfigurierbare „IP-Anonymisierung" wie beim früheren Universal Analytics gibt es in GA4 nicht mehr; die Kürzung ist fester Bestandteil des Dienstes.

Rechtsgrundlage: § 25 Abs. 1 TDDDG (Zugriff auf bzw. Speicherung von Informationen im Endgerät) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Consent-Einstellungen widerrufen. Zur Datenübermittlung in die USA siehe Ziffer 13.

YouTube-Videos (nur im Blog)

In einzelnen Blogbeiträgen binden wir Videos der Plattform YouTube ein. Beim Aufruf der Seite werden zunächst nur von uns selbst gehostete Vorschaubilder geladen – dabei besteht noch kein Kontakt zu YouTube oder Google. Erst wenn Sie ein Video aktiv per Klick starten und zuvor der Kategorie „Externe Medien" zugestimmt haben, wird eine Verbindung zu YouTube hergestellt. Wir nutzen dabei den „youtube-nocookie.com"-Modus. Anbieter ist die Google Ireland Limited (außerhalb der EU: Google LLC, USA). Dabei können Daten wie Ihre IP-Adresse und technische Geräteinformationen an Google übertragen werden.

Rechtsgrundlage: § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Zur Datenübermittlung in die USA siehe Ziffer 13.

10. Schriftarten (Google Fonts)

Zur einheitlichen Darstellung von Schriftarten nutzen wir Google Fonts. Die Schriftarten sind lokal auf unserem Server eingebunden. Beim Aufruf der Seiten werden keine Schriftdateien von Google-Servern nachgeladen, sodass im Zusammenhang mit den Schriftarten keine Daten an Google übermittelt werden.

11. Bot- und Spam-Schutz mit Cloudflare Turnstile

Für unser Kontaktformular verwenden wir den Dienst „Cloudflare Turnstile" der Cloudflare Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Turnstile erkennt und blockiert automatisierte Zugriffe (z. B. Bots, Spamskripte), damit wir Ihnen das Kontaktformular sicher zur Verfügung stellen können.

Turnstile wird nicht beim bloßen Aufruf unserer Seiten geladen. Erst wenn Sie ein Eingabefeld des Kontaktformulars anklicken oder fokussieren, wird der Dienst nachgeladen und führt im Hintergrund technische Prüfungen Ihres Browsers durch (z. B. Auswertung der IP-Adresse, Angaben zu Browser und Betriebssystem, Informationen zur Netzwerk- und Gerätekonfiguration sowie Interaktionssignale). Diese Signale werden an Cloudflare übermittelt und dort ausschließlich dazu verwendet, zu beurteilen, ob der Zugriff von einem Menschen oder einem Bot stammt. Bei erfolgreicher Prüfung entsteht ein kurzlebiger Prüf-Token, den unser Server zur Verifikation Ihrer Anfrage nutzt.

Die damit verbundenen Zugriffe auf Ihre Endeinrichtung sind nach § 25 Abs. 2 Nr. 2 TDDDGerforderlich, um Ihnen das ausdrücklich gewünschte Angebot „Kontaktaufnahme über das Formular" sicher bereitzustellen; eine gesonderte Einwilligung ist hierfür daher nicht erforderlich. Rechtsgrundlage für die anschließende Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Absicherung unseres Online-Angebots, der Abwehr missbräuchlicher automatisierter Zugriffe und der Verfügbarkeit der darüber übermittelten Inhalte.

Cloudflare verarbeitet die Turnstile-Signale teilweise als unser Auftragsverarbeiter (Art. 28 DSGVO). Soweit Cloudflare die Daten zusätzlich in eigener Verantwortung zur Verbesserung seiner Erkennungsalgorithmen nutzt, erfolgt dies als eigener Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Daten können dabei an Server von Cloudflare in den USA übermittelt werden; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend stützen wir Übermittlungen auf die Standardvertragsklauseln der EU-Kommission (siehe auch Ziffer 13). Weitere Informationen:Cloudflare-DatenschutzerklärungundTurnstile-Privacy-Notice.

12. KI-gestützte Erstellung von Inhalten

Wir nutzen KI-Werkzeuge zur Unterstützung bei der Erstellung von Blogartikeln, Texten und grafischen Elementen. Alle Inhalte werden vor der Veröffentlichung von uns geprüft und bei Bedarf angepasst. Wo Inhalte vollständig oder überwiegend KI-generiert sind und der Kontext es erfordert, kennzeichnen wir dies transparent, entsprechend den Transparenzanforderungen des EU AI Act (Art. 50). Eine automatisierte Entscheidungsfindung mit Rechtswirkung gegenüber Besucherinnen und Besuchern findet nicht statt.

13. Datenübermittlung in Drittländer

In einigen Fällen setzen wir oder die von uns eingesetzten Dienstleister Dienste ein, bei denen personenbezogene Daten in Drittländer außerhalb der EU bzw. des EWR – insbesondere in die USA – übertragen werden können. Dies betrifft insbesondere OpenRouter (Vermittlung der KI-Anfragen, siehe Ziffer 7), Google-Dienste (Analytics, YouTube, Calendar) sowie künftig gegebenenfalls Cloudflare (Bot-Schutz, siehe Ziffer 11). Das KI-Modell für den öffentlichen Chat rechnet demgegenüber nach Angaben des Anbieters in einem Rechenzentrum in der EU (siehe Ziffer 7).

Für solche Übermittlungen achten wir auf geeignete Garantien, etwa den Angemessenheitsbeschluss der EU-Kommission (EU-U.S. Data Privacy Framework) oder Standardvertragsklauseln. Den konkreten Status dieser Garantien prüfen wir regelmäßig.

14. Ihre Rechte als betroffene Person

Sie haben uns gegenüber folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen, aus Gründen Ihrer besonderen Situation

Widerruf von Einwilligungen: Soweit wir Daten auf Grundlage Ihrer Einwilligung verarbeiten, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist der

Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart, Deutschland
www.baden-wuerttemberg.datenschutz.de

Besonderer Hinweis zu lokal gespeicherten Chat-Daten: Der Gesprächsverlauf des KI-Chats „AELYN" wird nur lokal in Ihrem Browser gespeichert. Wir haben darauf keinen Zugriff und können ihn nicht zentral einsehen oder löschen. Sie können den Verlauf jederzeit selbst in Ihrem Browser löschen (siehe Ziffer 7).

15. Speicherdauer und Löschung

Soweit in dieser Datenschutzerklärung keine abweichenden Angaben gemacht werden, speichern wir personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist. Danach werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. nach Handels- und Steuerrecht) entgegenstehen. Server-Logfiles werden in der Regel nach spätestens 30 Tagen gelöscht (siehe Ziffer 5); Chat-Inhalte speichern wir nicht dauerhaft (siehe Ziffer 7).

16. Aktualität und Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die rechtlichen Vorgaben oder unsere Datenverarbeitungen ändern. Es gilt jeweils die auf dieser Website veröffentlichte Fassung.

Stand: Juli 2026