Datenschutzerklärung

Diese Datenschutzerklärung informiert dich nach Art. 13 DSGVO über die Verarbeitung deiner personenbezogenen Daten bei der Nutzung des Dienstes Essential Pulse, erreichbar unter pulse.essentialadvertising.de.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO und anderer datenschutzrechtlicher Bestimmungen ist:

Essential Advertising GmbH
Adenauerallee 2
61440 Oberursel (Taunus)
Deutschland
Geschäftsführer: Daniel Klantke
Handelsregister: HRB 15288 (Amtsgericht Bad Homburg v. d. Höhe)
USt-ID: DE341132023
E-Mail (allgemein): dk@essentialadvertising.de
E-Mail (Datenschutz-Anfragen): datenschutz@essentialadvertising.de
Telefon: +49 6172 9084747

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, §38 BDSG) nicht erfüllt sind. Bei Datenschutz-Fragen schreib bitte direkt an datenschutz@essentialadvertising.de — Antwort innerhalb von 5 Werktagen.

Subprozessor-Liste: vollständige Liste unter /subprozessoren mit DPA-Links + Drittland-Mechanismen (Art. 28 Abs. 4 DSGVO). Aktuell aktiv (Stand 20. Mai 2026): Vercel, Supabase, Anthropic (Claude), OpenAI, Resend, Stripe, Sentry, Browserless, Serper, Google (Places API), Tranco (DistriNet KU Leuven), LinkedIn (opt-in), Meta (Facebook + Instagram) (opt-in).

2. Verarbeitungstätigkeiten im Überblick

Pulse verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung des Dienstes. Im Folgenden listen wir alle Verarbeitungen mit Zweck, Rechtsgrundlage und Speicherdauer auf.

2.1 Registrierung und Anmeldung

• Daten: E-Mail-Adresse, Anzeigename, gehashtes Passwort (Argon2id über Supabase Auth), optional TOTP-2FA-Secret
• Zweck: Account-Verwaltung, Authentifizierung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Speicherdauer: bis zur Löschung des Accounts (30-Tage-Soft-Delete-Karenz, dann unwiderrufliche Hard-Löschung). Backups: weitere 7 Tage.

2.2 Pulse-Nutzung (Audits, Score-Verlauf, Werkstatt-Items)

• Daten: URLs der gemessenen Marken, Score-Verlauf, extrahierte Texte und Bilder, Verbesserungs-Vorschläge mit Status (offen / angewandt / verworfen), AI-Werkstatt-Generationen
• Zweck: Messung der Marken-Wirkung über 7 Dimensionen (Sichtbarkeit, Eigenständigkeit, Konsistenz, Substanz, Vertrauen, Emotion, Aktivität) plus 10 Touchpoint-Cluster, Verlauf, AI-Vorschläge
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Speicherdauer: bis Account-Löschung + 30 Tage Karenz. Free-Plan: max. 10 Werkstatt-Items, ältere werden automatisch verfallen.

2.3 Marken-Tiefe (Selbstauskunft)

• Daten: Mission, Vision, Zielgruppe, Differenzierung, Werte-Liste, Markenarchetyp, Ton-Achsen, Tabu-Wörter, Persona- Beschreibungen, Tagesfrage-Antworten, Quartal-Checkin-Antworten, optional Beziehungs-Daten (NPS, Wiederkauf-Rate — Aktivierung mit Verschlüsselung kommt in nächster Wave)
• Zweck: Substanz-Dimension und Persona-Cluster brauchen LLM-Belege; je vollständiger die Marken-Tiefe, desto belastbarer der Score.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Speicherdauer: bis Account-Löschung + 30 Tage Karenz
• LLM-Verarbeitung: Marken-Tiefe-Antworten werden an Anthropic Claude gesendet zur Erstellung der Marken-Zusammenfassung (llm_summary). Inputs werden vertraglich nicht zum Training verwendet (Commercial-Tier-DPA).

2.4 Werkstatt-Editor (AI-Text-Vorschläge + Bild-Generierung)

• Daten: Vom User eingegebene oder aus den Marken-Tiefe-Texten geladene Quellen-Texte, Ton-Picker-Auswahl, generierte Varianten + Phrasen-Highlights. Im Instagram-Post-Studio zusätzlich: User-Prompt + Marken-Kontext (Name, Branche, Stil-Hint) für DALL·E-3-Bild-Generierung.
• Zweck: Live-Analyse von Marken-Texten + AI-Verbesserungs-Vorschläge mit Score-Vorhersage; Bild-Generierung für Social-Posts.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Empfänger: Anthropic PBC, San Francisco, USA (Texte/Coach, SCCs + Commercial-Tier-DPA, kein Training); OpenAI L.L.C., San Francisco, USA (DALL·E-3-Bild-Generierung + Text- Embeddings für den Eigenständigkeits-Score, SCCs + DPA, kein Training, Lösch-Frist max. 30 Tage).
• Speicherdauer: AI-Improvements bis Account-Löschung + 30 Tage Karenz. Free-Plan: max. 10 sichtbare Items.

2.5 Cluster-Daten (Lokale Präsenz, Social, Reputation, Personas)

• Lokale Präsenz: Google Place-ID, GBP-Vollständigkeit, Foto-Anzahl, Frische, Adress-Konsistenz. Abfrage über die Google-Places-API mit dem Marken-Namen und der Stadt als Such-Query (keine personenbezogenen Pulse-User-Daten an Google).
• Social: Anzahl aktiver Channels, Open-Graph-Daten der eigenen Profil-URLs. Kein Scraping fremder Plattformen.
• Reputation: aggregierte Kennzahlen (Anzahl, Schnitt, Antwortrate). Keine Klarnamen oder Volltexte einzelner Reviews. Mitarbeiter-Plattformen (kununu, Glassdoor) werden explizit nicht ausgewertet.
• Personas: 3–5 dynamische Personas, generiert aus Marken-Tiefe + Branche. Persona-Eindrücke (LLM-generiert) pro Audit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Selbstauskunft; Art. 6 Abs. 1 lit. f DSGVO für aggregierte Reputation-Signale
• Speicherdauer: bis Account-Löschung + 30 Tage Karenz

2.6 Zahlungsabwicklung (Pro / Pro Plus — in Vorbereitung)

• Daten: Stripe-Kunden-ID, Subscription-ID, Rechnungsadresse, USt-IdNr. (B2B). Karten- und Kontodaten werden ausschließlich von Stripe verarbeitet, niemals an uns übermittelt.
• Zweck: Abrechnung der Abonnements
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b + lit. c DSGVO (Vertragserfüllung + gesetzliche Aufbewahrung)
• Speicherdauer: Rechnungsdaten 10 Jahre (§147 AO, §257 HGB). Subscription-Daten bis Account-Löschung + 30 Tage.
• Hinweis: Pro/Pro+ sind noch nicht live — aktuelle Abrechnung erfolgt individuell per Rechnung, nicht via Stripe.

2.7 E-Mail-Kommunikation

• Daten: E-Mail-Adresse, Inhalt der Mail, Versand-Status
• Zweck: Vertragsbezogene Mails (Welcome, Reset, Account-Lösch-Bestätigung). Service-Mails wie Sonntag-Brief + Quartal-Checkin-Reminder im Rahmen des gebuchten Tiers — im Portal unter Settings → Notifications abschaltbar.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Newsletter (falls in Zukunft angeboten) nur mit ausdrücklicher Einwilligung (Double-Opt-In).
• Speicherdauer: Resend speichert Inhalte 30 Tage zu Debugging-Zwecken. Account-Löschung + 30 Tage Karenz.
• Empfänger: Resend Inc., San Francisco, USA (SCCs + DPA — siehe TIA-Resend).

2.8 Verarbeitung gemessener Websites (Crawling)

• Daten: Öffentlich zugänglicher Inhalt der in Pulse zur Messung angegebenen Websites (Texte, Bilder, HTML-Struktur, Open-Graph, Social-Links). Optional Screenshot via Headless-Browser.
• Zweck: Berechnung des Marken-Scores. Du erklärst beim Anlegen einer Marke, dass du zur Messung berechtigt bist.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Bewertung öffentlich zugänglicher Web-Auftritte).
• Speicherdauer: Score-Snapshots bis Account-Löschung + 30 Tage. Roh-Crawl-Daten + Screenshots: 30 Tage rollierend.
• Empfänger Crawl-Infrastruktur: Browserless Inc. (USA, SCCs) für Headless-Chrome-Rendering. Serper.dev (USA, SCCs) für Google-SERP-API. Beide bekommen ausschließlich öffentliche URLs.

2.9 LinkedIn-Integration (optional, nur bei expliziter Verbindung)

• Aktivierung: nur wenn du in den Settings unter „LinkedIn-Verbindung" aktiv auf Verbinden klickst und den OAuth-Permissions zustimmst. Ohne diese Einwilligung findet keine Übermittlung an LinkedIn statt.
• Daten (übermittelt von LinkedIn an Pulse): OAuth-Access-Token + Refresh-Token (verschlüsselt gespeichert), LinkedIn-Profile-ID, Name, optional E-Mail (bei Sign-In via LinkedIn). Bei Brand-Crawl: Company-Page-URN, öffentliche Posts der letzten 90 Tage, Engagement-Stats.
• Zweck: (1) Sign-In via LinkedIn als Alternative zu Email-Passwort. (2) Crawl deiner LinkedIn-Company-Page als Touchpoint für Score-Berechnung (Sichtbarkeit, Aktivität, Konsistenz).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über OAuth-Click-Wrap).
• Empfänger: LinkedIn Corporation, Sunnyvale CA, USA. EU-Vertretung: LinkedIn Ireland Unlimited Company, Dublin. Übermittlung gestützt auf EU-US Data Privacy Framework (LinkedIn DPF-zertifiziert) + Standard Contractual Clauses. Schrems-II-TIA dokumentiert in docs/legal/TIA-LinkedIn.md.
• Speicherdauer: Tokens bis Disconnect oder Account-Löschung. Gecrawlte Posts: 90-Tage-Snapshot-Cache.
• Disconnect jederzeit: Settings → LinkedIn-Verbindung → „Trennen". Tokens werden sofort gelöscht, Score-Berechnung fällt auf Nicht-LinkedIn-Touchpoints zurück. Zusätzlich Permissions widerrufbar bei linkedin.com/mypreferences/d/apps.

2.10 Meta-Integration (Facebook + Instagram, optional)

• Aktivierung: nur wenn du in den Settings unter „Meta-Verbindung" aktiv auf Mit Facebook verbinden klickst und den OAuth-Permissions zustimmst. Ohne diese Einwilligung findet keine Übermittlung an Meta statt.
• Daten (übermittelt von Meta an Pulse): OAuth-Access-Token (User-Token Long-Lived + Page-Tokens — verschlüsselt gespeichert), Meta-User-ID, Name, optional E-Mail, Avatar-URL. Bei Brand-Crawl: Facebook-Page-ID + Instagram-Business-Account-ID, öffentliche Posts der letzten 90 Tage, Engagement-Stats (Likes, Comments, Shares, Reach).
• Zweck: Crawl deiner Facebook-Page + des verknüpften Instagram-Business-Accounts als Touchpoint für Score-Berechnung (Sichtbarkeit, Aktivität, Konsistenz). Wir lesen NUR öffentliche Inhalte — keine Inbox, keine Stories, keine Ads-Daten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über OAuth-Click-Wrap).
• Empfänger: Meta Platforms, Inc., Menlo Park CA, USA. EU-Vertretung: Meta Platforms Ireland Limited, Dublin. Übermittlung gestützt auf EU-US Data Privacy Framework (Meta DPF-zertifiziert) + Standard Contractual Clauses. Schrems-II-TIA dokumentiert in docs/legal/TIA-Meta.md.
• Speicherdauer: User-Token max. 60 Tage (Cron refresht). Page-Tokens bis Disconnect. Gecrawlte Posts: 4-Stunden-Snapshot-Cache, danach Re-Fetch.
• Disconnect jederzeit: Settings → Meta-Verbindung → „Trennen". Tokens werden sofort gelöscht. Zusätzlich Permissions widerrufbar bei facebook.com/settings (Business-Integrations).

2.11 Audit-Log (Compliance)

• Daten: Login-Versuche, Account-Änderungen, Brand- Aktionen, Daten-Exports, Lösch-Anfragen — jeweils mit User-ID, Zeitstempel, IP-Adresse, User-Agent
• Zweck: Sicherheits-Monitoring, Nachvollziehbarkeit für Auskunfts- + Lösch-Anfragen (Art. 5 Abs. 2 DSGVO Rechenschaftspflicht)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung Art. 5 Abs. 2 + Art. 32 DSGVO) + Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Sicherheit)
• Speicherdauer: 12 Monate, danach automatisch anonymisiert. Du kannst deine Audit-Einträge jederzeit im Portal einsehen.

2.12 Server-Logs + Monitoring

• Daten: IP-Adresse, Zeitstempel, User-Agent, angefragter Pfad, Status-Code (Vercel-Access-Logs). Sentry-Error-Tracking: Stack-Traces ohne PII (KonfigurationsendDefaultPii: false).
• Zweck: Stabilitäts- und Sicherheitsüberwachung (DDoS-Erkennung, Fehler-Diagnose, Performance-Monitoring)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb)
• Speicherdauer: Vercel-Logs 24 h, Sentry-Events 90 Tage rollierend.

2.13 Cookies

• Verwendet: ausschließlich technisch notwendige Cookies (Login-Session-Token von Supabase Auth, optional Admin- View-As-Cookie)
• Zweck: Aufrechterhaltung der Anmeldung über mehrere Seitenaufrufe
• Rechtsgrundlage: §25 Abs. 2 Nr. 2 TTDSG (für die Funktion des Dienstes unbedingt erforderlich) + Art. 6 Abs. 1 lit. b DSGVO
• Folge: Kein Cookie-Banner erforderlich.

Pulse setzt kein Tracking, keine Analytics, kein Marketing- Pixel, keine Drittanbieter-Cookies.

3. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Mit jedem ist ein Auftragsverarbeitungsvertrag (DPA) geschlossen. Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln (SCC) sowie ggf. dem EU-US Data Privacy Framework. Detaillierte Liste mit Zweck, Datenkategorien und Drittland-Mechanismen unter /subprozessoren.

• Vercel Inc., San Francisco, USA — Web-Hosting (Edge in Frankfurt, EU-US-DPF zertifiziert). DPA: vercel.com/legal/dpa
• Supabase Inc., Singapore — Datenbank-Hosting (AWS Frankfurt eu-central-1), Authentifizierung, Storage. DPA: supabase.com/legal/dpa
• Anthropic PBC, San Francisco, USA — LLM-Auswertung (Marken-Score-Analyse, Werkstatt-Generierung, Brand-Coach). Inputs werden nicht zum Training verwendet (Commercial Tier). DPA: anthropic.com/legal/data-processing-addendum
• OpenAI, L.L.C., San Francisco, USA — Text-Embeddings (text-embedding-3-small) für den Eigenständigkeits-Score sowie DALL·E-3-Bild-Generierung im Instagram-Post-Studio. Inputs werden nicht zum Training verwendet (API-Default) und nach max. 30 Tagen gelöscht. DPA: openai.com/policies/data-processing-addendum
• Resend Inc., San Francisco, USA — transaktionale E-Mails (Welcome, Reset, Lösch-Bestätigung, Sonntag-Brief). DPA: resend.com/legal/dpa
• Stripe Payments Europe Ltd., Dublin, Irland (EU) — Zahlungsabwicklung (derzeit pausiert, wird mit dem produktiven Pricing-Launch wieder aktiviert). DPA: stripe.com/legal/dpa
• Sentry / Functional Software Inc., San Francisco, USA — Error-Tracking + Performance-Monitoring (DSGVO-konfiguriert, kein PII). DPA: sentry.io/legal/dpa
• Browserless Inc., USA — Headless-Chrome-Rendering für Marken-Audit-Screenshots. DPA: browserless.io/legal/dpa
• Serper.dev, USA — strukturierte Google-Suchergeb- nisse für den Sichtbarkeits-Cluster. DPA: serper.dev/privacy
• Google LLC, Mountain View, USA (EU-Vertretung: Google Ireland Ltd., Dublin) — Google Places API für Cluster „Lokale Präsenz" (GBP-Vollständigkeit, Bewertungs-Schnitt). Inputs sind ausschließlich Marken-Namen + Städte. DPF-zertifiziert. DPA: cloud.google.com/terms/data-processing-addendum
• DistriNet / KU Leuven, Leuven, Belgien (EU) — Tranco-Rank-API als Domain-Authority-Signal für die Sichtbarkeits- Dimension. Inputs sind ausschließlich öffentliche Domain-Namen.

Geplante zusätzliche Auftragsverarbeiter (noch nicht aktiv — Aktivierung wird vorab in dieser Erklärung dokumentiert und per Mail kommuniziert):

• Trustpilot A/S, Kopenhagen, Dänemark (EU) — Aggregation öffentlicher Bewertungen.
• ProvenExpert GmbH, Berlin, Deutschland (EU) — Aggregation öffentlicher Bewertungen.

4. Drittlandübermittlung

Einige der oben genannten Dienstleister haben ihren Sitz in den USA. Die Übermittlung erfolgt:

• auf Basis der EU-Standardvertragsklauseln (Beschluss (EU) 2021/914),
• ergänzt durch zusätzliche technische Maßnahmen (Verschlüsselung in Transit TLS 1.3 und at Rest AES-256),
• für Anbieter mit Zertifizierung nach dem EU-US Data Privacy Framework (z.B. Google, LinkedIn, Meta): zusätzlich auf Basis dieses Angemessenheitsbeschlusses (Art. 45 DSGVO),
• für jeden Drittland-Subprozessor ist ein Transfer Impact Assessment (TIA) dokumentiert (Bestandteil unserer TOMs, auf Anfrage verfügbar).
• ein täglicher Cron-Job (DPA-Watcher) prüft automatisch ob sich die Data-Processing-Addenda unserer Subprozessoren geändert haben. Bei Änderungen werden neue Snapshots im DPA-Archiv abgelegt und betroffene Kunden mit 30 Tagen Vorlauf informiert.

5. Self-Service deiner Rechte (DSGVO Art. 15–22)

Wir haben deine Rechte als Self-Service-Funktionen direkt im Portal umgesetzt — kein Mail-Verkehr nötig:

• Daten-Export (Art. 20): Im Portal unter Settings → Datenschutz findest du den Button „↓ Als JSON downloaden". Du bekommst ein JSON-Bundle mit allen deinen Daten (Marken, Snapshots, Marken-Tiefe, Werkstatt, Aktivitäts-Log).
• Konto-Löschung (Art. 17): Im Portal unter Settings → Datenschutz → „Konto löschen". 30-Tage-Karenz mit Reaktivierungs-Link in der Bestätigungs-E-Mail. Danach unwiderrufliche Hard-Löschung aller Daten via Cascade (Tabellen: brands, snapshots, identity_profile, improvements, tips, events).
• Zwei-Faktor-Authentifizierung (Art. 32): Settings → „2FA einrichten". TOTP via Authenticator-App (Google Authenticator, Authy, 1Password).
• Audit-Log einsehen (Art. 15): Im Portal unter Settings → Audit-Log findest du alle Aktionen, die zu deinem Konto protokolliert wurden (Login, Brand- Änderungen, Lösch-Anfragen). CSV-Export für eigene Compliance- Aufzeichnungen.
• Auftragsverarbeitungs-Vertrag (AVV): Vorlage unter /avv herunterladen. Für Geschäftskunden Pflicht-Anlage zur Beauftragung.

6. Weitere Betroffenenrechte

Du hast jederzeit das Recht auf:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO) — direkt im Portal-Settings + Marken-Tiefe
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde. Zuständig für uns: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 31 63, 65021 Wiesbaden, datenschutz.hessen.de

Anfragen, die nicht über den Self-Service abgedeckt sind, an: datenschutz@essentialadvertising.de — Antwort innerhalb von 5 Werktagen.

7. Speicherdauer im Überblick

• Account- und Pulse-Daten: bis Löschung, danach 30 Tage Karenz + 7 Tage Backup-Restlöschfrist
• Rechnungs- und Buchhaltungsdaten: 10 Jahre (§147 AO, §257 HGB)
• Audit-Log: 12 Monate, danach anonymisiert
• Vercel-Access-Logs: 24 h
• Sentry-Error-Events: 90 Tage rollierend
• Resend-Email-Inhalte: 30 Tage
• Anthropic-LLM-Inputs: 30 Tage (anbieterseitig)
• Roh-Crawl-Daten + Screenshots: 30 Tage

8. Automatisierte Entscheidungsfindung

Pulse erstellt automatisierte Bewertungen (Marken-Score 0–100 über 7 Dimensionen). Diese Bewertungen entfalten keine rechtliche oder ähnlich erhebliche Wirkung im Sinne des Art. 22 DSGVO. Sie dienen ausschließlich der informativen Standortbestimmung und stellen keine Marketing-, Rechts- oder Steuerberatung dar.

Wenn du Inhaber:in einer Marke bist, die in Pulse durch eine andere Person bewertet wurde, kannst du der Bewertung jederzeit widersprechen. Schreib uns eine kurze Mail an datenschutz@essentialadvertising.de mit der betroffenen URL — wir entfernen die Bewertung umgehend.

9. Sicherheit der Verarbeitung (TOMs)

Wir setzen technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO zum Schutz deiner Daten ein. Vollständige Dokumentation auf Anfrage — Auszug:

• TLS 1.3-Verschlüsselung für alle Verbindungen, HSTS-Pflicht
• Verschlüsselung von Datenbank und Storage at Rest (AES-256)
• Row-Level-Security in der Datenbank — User sehen nur eigene Daten
• Passwort-Hashing mit Argon2id (Supabase Auth)
• 2FA via TOTP optional aktivierbar
• Zentrales Audit-Log für sicherheitsrelevante Aktionen
• Sentry-Monitoring mit DSGVO-Konfiguration (kein PII)
• Regelmäßige Updates der eingesetzten Software-Komponenten
• Mitarbeiter sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO)
• Jährliche Datenschutz-Schulung dokumentiert

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, falls sich rechtliche Rahmenbedingungen oder unsere Verarbeitungstätigkeiten ändern. Die jeweils aktuelle Fassung findest du immer hier. Wesentliche Änderungen (z. B. neue Subprozessoren) kommunizieren wir aktiv per E-Mail mit 30 Tagen Vorlauf. Widerspruchsrecht nach Art. 28 Abs. 2 Satz 2 DSGVO besteht.

Stand: 20.05.2026 · Version 2.1 (Subprozessoren-Erweiterung: OpenAI, Google Places, Tranco · Sunday-Brief-Opt-Out · Audit-Log-Retention-Cron)