Studio DERN Audit buchen

§ Rechtliches

Datenschutzerklärung

Stand: 04.09.2026

1. Verantwortlicher

Studio DERN
Dominik Dern
Felicitas-Kukuck-Str. 3C
22765 Hamburg
E-Mail: dominik@dern.studio

Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht nach § 38 BDSG bzw. Art. 37 DSGVO derzeit nicht; ein Datenschutzbeauftragter wurde daher nicht benannt. Bei Fragen zum Datenschutz wende dich direkt an die oben genannte E-Mail-Adresse.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer:innen grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist oder soweit eine entsprechende Einwilligung vorliegt (Art. 6 Abs. 1 lit. a, b, c, f DSGVO).

3. Hosting

Diese Website wird gehostet bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die eingesetzten Server stehen ausschliesslich in Deutschland. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäss Art. 28 DSGVO.

Als Webserver kommt Caddy zum Einsatz. Es werden keine dauerhaften Access-Logfiles geführt; lediglich flüchtige System- und Fehlermeldungen können kurzfristig zur technischen Fehleranalyse anfallen und werden nicht systematisch ausgewertet. Eine Verarbeitung deiner IP-Adresse findet ausschliesslich kurzzeitig zur technischen Auslieferung der Seite statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

4. Cookies & lokaler Speicher

Diese Website setzt selbst keine Cookies und greift auch sonst nicht auf Informationen in deinem Endgerät (localStorage, sessionStorage, IndexedDB) zu. Einzige Ausnahme ist der Bot-Schutz Cloudflare Turnstile auf der Unterseite /radar/: Er speichert Informationen im Browser nur, soweit das für die Prüfung zwingend erforderlich ist (siehe § 7). Das Sitzungs-Token des Routine-Radars wird nur im Arbeitsspeicher der Seite gehalten und beim Verlassen der Seite verworfen. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich, und wir blenden auch keinen Cookie-Banner ein.

5. Kontaktaufnahme

Die Kontaktaufnahme erfolgt in der Regel per E-Mail über die auf der Website angegebene Adresse bzw. einen mailto:-Link; die Nachricht wird dabei über deinen eigenen Mail-Client an unseren Posteingang übermittelt. Ein serverseitiges Kontaktformular setzen wir nur im Routine-Radar auf der Unterseite /radar/ ein (siehe § 6). Wir verarbeiten die von dir übermittelten Angaben (insbesondere Name, E-Mail-Adresse und den Inhalt deiner Nachricht) zur Bearbeitung der Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

Die Daten werden gelöscht, sobald sie für die Zweckerreichung nicht mehr erforderlich sind. Bei Anbahnung oder Abschluss eines Geschäftsvorgangs können sie aufgrund gesetzlicher Aufbewahrungspflichten weiter gespeichert bleiben, insbesondere nach § 257 HGB (Geschäftskorrespondenz, regelmäßig 6 Jahre) und § 147 AO (steuerlich relevante Unterlagen, regelmäßig 10 Jahre). Nach Ablauf dieser Fristen werden die Daten gelöscht.

6. Routine-Radar (Rechner mit Kontaktformular)

Auf der Unterseite /radar/ bieten wir den Routine-Radar an: einen mehrstufigen Rechner, der aus deinen Angaben zu wiederkehrenden Aufgaben abschätzt, wie viel Zeit und Geld Routinearbeit kostet und welcher Anteil sich automatisieren lässt. Das Ergebnis siehst du direkt im Browser. Vor dem Ergebnis fragen wir Kontaktdaten und deine Einwilligung ab; ohne diese Angaben lässt sich der Radar nicht nutzen.

Verarbeitete Daten: Name, E-Mail-Adresse, Telefonnummer, die erteilten Einwilligungen (Kontakt, optional Newsletter), deine Antworten im Rechner (Branche, Teamgröße, Stundensatz, genutzte Tools, die ausgewählten Prozesse mit Häufigkeit, Dauer und Anzahl der beteiligten Personen, optionale Freitexte), die daraus berechneten Kennzahlen (Stunden pro Woche und pro Jahr, Kosten und Sparpotenzial pro Jahr sowie eine interne Einstufung der Anfrage) und der Zeitpunkt. Deine IP-Adresse wird nicht im Datensatz gespeichert. Zur Begrenzung von Anfragen (höchstens fünf Starts pro Stunde) verwenden wir für eine Stunde einen pseudonymisierten Hash deiner IP-Adresse, der mit einem geheimen Schlüssel gebildet wird und sich nicht auf deine IP-Adresse zurückrechnen lässt. Für die Dauer der Sitzung (höchstens 90 Minuten) erzeugt unser Server ein zufälliges Sitzungs-Token; gespeichert wird nur dessen Hash, das Token selbst bleibt im Arbeitsspeicher deines Browsers (siehe § 4).

Zwecke: Bereitstellung und Anzeige des Ergebnisses im Browser, Kontaktaufnahme zu deinen Angaben per E-Mail oder Telefon auf Grundlage deiner Einwilligung sowie eine Benachrichtigung des Verantwortlichen per E-Mail über den neuen Eintrag. Eine Ergebnis-Mail an dich versenden wir derzeit nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an dominik@dern.studio. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Verarbeitung und Speicherung: Die Angaben werden von unserer selbst betriebenen Automatisierungsplattform n8n entgegengenommen, geprüft und in einer Datentabelle gespeichert. n8n läuft auf unserem Server bei der Hetzner Online GmbH in Deutschland (siehe § 3). Die Benachrichtigung über einen neuen Eintrag wird per E-Mail an das E-Mail-Postfach des Verantwortlichen zugestellt. Dieses Postfach wird bei Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) im Rahmen eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO betrieben; eine Übermittlung in die USA ist dabei möglich (siehe § 12).

Speicherdauer: Wir speichern die Daten, bis der Zweck entfällt oder du deine Einwilligung widerrufst, längstens jedoch 12 Monate nach der letzten Kontaktaufnahme. Kommt es zu einem Geschäftsvorgang, können gesetzliche Aufbewahrungspflichten eine längere Speicherung erfordern (siehe § 5).

Newsletter: Im Formular kannst du zusätzlich und freiwillig in den Erhalt eines Newsletters einwilligen (eigene Checkbox, standardmäßig nicht gesetzt). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; du kannst dich jederzeit abmelden, etwa per E-Mail an die oben genannte Adresse. Ohne diese Einwilligung erhältst du keinen Newsletter. Derzeit versenden wir noch keinen Newsletter; deine Einwilligung wird lediglich zusammen mit deinen Angaben gespeichert.

Bot-Schutz und KI-Vorschläge: Das Formular ist durch Cloudflare Turnstile geschützt (siehe § 7). Wenn du im Rechner weitere Aufgaben im Freitext beschreibst, können daraus KI-gestützte Vorschläge erzeugt werden (siehe § 8).

7. Cloudflare Turnstile (Bot-Schutz)

Zum Schutz des Formulars im Routine-Radar vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein. Anbieter ist die Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, in der EU vertreten durch die Cloudflare Germany GmbH. Turnstile wird ausschliesslich auf der Unterseite /radar/ geladen; auf allen anderen Seiten findet keine Verbindung zu Cloudflare statt.

Beim Aufruf der Unterseite lädt dein Browser ein Script von challenges.cloudflare.com. Turnstile verarbeitet dabei deine IP-Adresse, Browser- und Geräteinformationen sowie Interaktionsdaten, um zu prüfen, ob ein Mensch das Formular nutzt. Das Ergebnis der Prüfung wird als Token zusammen mit dem Formular an unseren Server übermittelt und dort über eine Schnittstelle bei Cloudflare verifiziert. Informationen werden im Browser nur gespeichert, soweit das für den Bot-Schutz zwingend erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und an der Betriebssicherheit des Formulars). Dabei können Daten in die USA übermittelt werden. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln (siehe § 12). Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare: cloudflare.com/privacypolicy.

8. KI-gestützte Vorschläge (Anthropic)

Im Routine-Radar kannst du freiwillig in einem Freitextfeld beschreiben, welche weiteren Aufgaben bei dir Zeit kosten. Wenn du diesen Text absendest, übermitteln wir ihn zusammen mit der gewählten Branche und den bereits ausgewählten Prozessen an die Schnittstelle (API) von Anthropic, PBC, San Francisco, USA, um passende Vorschläge für weitere Prozesse zu erzeugen. Name, E-Mail-Adresse und Telefonnummer werden dabei nicht übermittelt. Die Vorschläge werden dir im Rechner angezeigt; wählst du einen davon aus, wird er wie die übrigen Prozesse mit deinem Ergebnis gespeichert (siehe § 6). Bitte trage keine personenbezogenen Daten Dritter (etwa Namen von Kund:innen oder Mitarbeitenden) in das Freitextfeld ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Nutzung der Funktion ist freiwillig und wird nur ausgelöst, wenn du den Freitext absendest; ohne sie kannst du den Rechner uneingeschränkt nutzen. Die Verarbeitung findet in den USA statt. Anthropic ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln (siehe § 12). Mit Anthropic besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Nach eigenen Angaben speichert Anthropic API-Eingaben standardmäßig bis zu 30 Tage zur Prüfung auf Missbrauch und nutzt sie nicht zum Training seiner Modelle. Weitere Informationen: anthropic.com/privacy.

9. Keine externen Schriften / Tracker by default

Diese Seite lädt keine Schriften, Skripte oder Pixel von Drittanbietern, mit Ausnahme des Bot-Schutzes Cloudflare Turnstile auf der Unterseite /radar/ (siehe § 7). Schriften (Space Grotesk, Inter, JetBrains Mono) werden DSGVO-konform selbst gehostet. Eingebunden ist ausserdem lediglich unsere selbst gehostete Webanalyse Plausible (siehe § 10), die ausschliesslich auf unserem eigenen Server verarbeitet. Beim bloßen Aufrufen der übrigen Seiten findet daher keine Datenübermittlung an Dritte statt.

10. Webanalyse mit Plausible (selbst gehostet)

Zur statistischen Auswertung der Nutzung dieser Website setzen wir Plausible Analytics ein, eine cookielose, datenschutzfreundliche Open-Source-Webanalyse. Wir betreiben Plausible selbst auf unserem Server bei der Hetzner Online GmbH in Deutschland (siehe § 3) unter der Subdomain analytics.dern.studio. Es findet keine Datenübermittlung an Dritte statt.

Erfasst werden ausschliesslich aggregierte Statistiken: besuchte Seiten, Referrer-Domain, Browser-Typ, Betriebssystem und ungefähres Land. Zusätzlich erfassen wir aggregierte Konversions-Ereignisse, etwa den Klick auf den „Audit buchen"-Button, die Nutzung des ROI-Rechners, das Aufklappen einer FAQ-Frage sowie im Routine-Radar den Start des Rechners, die gewählte Branche, die Anforderung von KI-Vorschlägen und die Anzeige des Ergebnisses. Auch hierbei werden ausschliesslich anonyme Zähler gespeichert, keine personenbezogenen Daten; Name, E-Mail-Adresse, Telefonnummer und Freitexte aus dem Radar werden nicht an Plausible übermittelt. Es werden keine Cookies gesetzt und keine personenbezogenen Daten dauerhaft gespeichert.

Zur Wiedererkennung wiederkehrender Besucher:innen innerhalb eines Tages erzeugt Plausible einen Hash aus deiner IP-Adresse, dem User-Agent und einem täglich rotierenden geheimen Salt. Die IP-Adresse selbst wird nicht gespeichert; der Hash wird täglich verworfen, sodass eine Nachverfolgung über Tagesgrenzen hinaus technisch nicht möglich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, da Plausible keine Informationen im Endgerät speichert oder ausliest.

Widerspruchsrecht (Art. 21 DSGVO): Da wir die Reichweitenmessung auf Art. 6 Abs. 1 lit. f DSGVO stützen, kannst du dieser Verarbeitung jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Eine formlose Nachricht an dominik@dern.studio genügt; wir nehmen deine IP-Adresse dann von der Erfassung aus. Alternativ kannst du Plausible mit einem üblichen Tracking- oder Werbe-Blocker (z. B. uBlock Origin) blockieren.

11. Terminvereinbarung über Google Calendar

Auf unserer Website verlinken wir an mehreren Stellen ein Buchungstool von Google Calendar (z. B. über den Button „Audit buchen"). Klickst du den Link, wirst du auf eine Domain von Google weitergeleitet (calendar.app.google bzw. calendar.google.com). Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für Nutzer:innen im EWR), gemeinsam mit der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Beim Buchen eines Termins übermittelst du an Google Daten wie Name, E-Mail-Adresse, gewählten Zeitslot, IP-Adresse sowie ggf. Browser- und Geräteinformationen. Wir erhalten von Google die Termindaten zur Vereinbarung des Audits. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Terminvereinbarung). Eine Übermittlung in die USA ist möglich; dazu siehe § 12.

Details zur Datenverarbeitung durch Google findest du in der Datenschutzerklärung von Google: policies.google.com/privacy.

12. Datenübermittlung in Drittländer

Beim Aufruf unserer Website findet keine Übermittlung deiner personenbezogenen Daten in Drittländer außerhalb der EU/des EWR statt. Eine Drittlandübermittlung kann jedoch in folgenden Fällen erfolgen: wenn du den Link zum Google-Calendar-Buchungstool nutzt (siehe § 11), wenn du die Unterseite /radar/ mit dem Bot-Schutz Cloudflare Turnstile aufrufst (siehe § 7), wenn du dort KI-Vorschläge anforderst (siehe § 8) sowie bei der Benachrichtigung über einen neuen Radar-Eintrag an das E-Mail-Postfach des Verantwortlichen (siehe § 6). In diesen Fällen ist die Übermittlung wie folgt abgesichert:

  • Google, Cloudflare und Anthropic sind nach dem EU-US Data Privacy Framework zertifiziert, das nach Art. 45 DSGVO ein angemessenes Datenschutzniveau gewährleistet.
  • Ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

13. Keine automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung im Sinne des Art. 22 DSGVO findet auf dieser Website nicht statt. Wir setzen kein Profiling, keine automatisierte Bonitätsprüfung und keine vergleichbaren Verfahren ein. Die im Routine-Radar berechneten Kennzahlen und die interne Einstufung einer Anfrage dienen allein der Vorbereitung des Gesprächs und entfalten dir gegenüber keine rechtliche Wirkung.

14. Deine Rechte

  • Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung deiner Daten (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung deiner Rechte wende dich an dominik@dern.studio.

Die für unseren Sitz in Hamburg zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Str. 22, 20459 Hamburg
Telefon: +49 40 428 54-4040
Web: datenschutz-hamburg.de

15. Datensicherheit

Wir verwenden TLS-Verschlüsselung (HTTPS) sowie nach Stand der Technik angemessene technische und organisatorische Maßnahmen, um deine Daten zu schützen.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Es gilt jeweils die aktuelle, auf dieser Seite veröffentlichte Fassung.