Datenschutzerklärung

Stand: 28. September 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Abdelhak Kabbouri
Synthova, KI-Engineering & Workflow-Automatisierung
Vinzenzallee 16, 50859 Köln, Deutschland
Telefon: +49 1573 3964460
E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt. Datenschutzanfragen richten Sie bitte an die genannten Kontaktdaten.

2. Zwecke, Rechtsgrundlagen und Pflichtangaben

Diese Website ist eine statisch ausgelieferte Informationsseite. Wir verarbeiten Daten für die technische Auslieferung und Absicherung, die Bearbeitung von Anfragen, die Terminvereinbarung, den ausdrücklich gestarteten Website-Chat sowie für eine cookielose Reichweitenmessung mit Cloudflare Web Analytics (ohne Einwilligung, Abschnitt 9). Google Analytics und Google Ads sind derzeit nicht aktiv und würden nur nach Einwilligung geladen.

Je nach Vorgang gelten Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG für einwilligungsbedürftige Speicher- und Zugriffsvorgänge, Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und vereinbarte Leistungen, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungspflichten sowie Art. 6 Abs. 1 lit. f DSGVO für sicheren Betrieb, Missbrauchsabwehr und allgemeine Anfragen. Pflichtfelder sind als solche gekennzeichnet; ohne sie können wir eine Anfrage oder Buchung nicht bearbeiten. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

3. Hosting, DNS und Server-Logdateien

Die Website wird bei Cloudflare Pages im Free-Tarif betrieben. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare stellt außerdem die Nameserver der Domain synthova.de bereit und liefert die Seiten über sein weltweites Content Delivery Network aus. Dabei verarbeitet Cloudflare insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Datenmenge, Browsertyp und -version, Betriebssystem sowie Referrer. Zweck sind Auslieferung, Betriebssicherheit und Abwehr von Angriffen, etwa Überlastungsangriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine schnelle und sichere Website.

Cloudflare ist als Auftragsverarbeiter eingebunden; die Cloudflare Customer DPA ist Bestandteil der Cloudflare-Nutzungsbedingungen. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln der Europäischen Kommission. Cloudflare veröffentlicht eine Liste der Unterauftragsverarbeiter für Cloudflare-Dienste. Wir selbst werten keine Zugriffsprotokolle aus.

4. Lokale Schriften, Bilder, Embeds, Icons und Skripte

Lokale Schriften, Bilder, Stylesheets, Icons, SVG-Grafiken und Grundskripte werden vom eigenen Hosting ausgeliefert. Google Fonts, fremde Schrift-CDNs und Social-Media-Plugins werden nicht geladen. Das Chat-Frontend und der Blog werden ebenfalls vom eigenen Hosting ausgeliefert. Ein externer Embed ist ausschließlich der in Abschnitt 7 beschriebene Terminplaner, der erst nach Einwilligung geladen wird. Bilder und eingebettete Medien werden nicht automatisch von fremden Servern nachgeladen.

5. Kontaktaufnahme per E-Mail oder Telefon

Bei Kontakt per E-Mail oder Telefon verarbeiten wir die von Ihnen mitgeteilten Daten, insbesondere Name, Kontaktdaten und Inhalt der Anfrage, zur Beantwortung und gegebenenfalls Vertragsvorbereitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist, soweit keine Pflichten oder die Verteidigung von Rechtsansprüchen entgegenstehen.

Die Domain verwendet nach dem öffentlich auflösbaren MX-Eintrag den Maildienst smtp.google.com. Der geschäftliche E-Mail-Verkehr wird daher über Google Workspace beziehungsweise Gmail verarbeitet. Anbieter für den EWR ist Google Ireland Limited; eine Verarbeitung durch Google LLC in den USA kann im Rahmen der Google-Dienste erfolgen.

6. Kontaktformular (Formularverarbeitung) und Spam-Schutz mit Cloudflare Turnstile

Über „Erstgespräch anfragen“ verarbeiten wir Name, Unternehmen, geschäftliche E-Mail-Adresse, optional Telefonnummer, Anliegen und Freitextbeschreibung. Die Einsendung wird von einer serverseitigen Funktion auf Cloudflare Pages entgegengenommen und in einem Speicher bei Cloudflare (Workers KV) abgelegt, aus dem wir die Anfrage bearbeiten. Dort wird sie spätestens nach 90 Tagen automatisch gelöscht. Zweck ist die Bearbeitung der Anfrage und die Vorbereitung eines Erstgesprächs oder Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die im Formular abgefragte Einwilligung wird zusätzlich auf Art. 6 Abs. 1 lit. a DSGVO gestützt. Übernehmen wir eine Anfrage in unser Postfach, behandeln wir sie wie geschäftliche Korrespondenz; kommt kein Vertrag zustande, löschen wir sie spätestens zwölf Monate nach der letzten Kommunikation, soweit keine gesetzlichen Aufbewahrungspflichten gelten.

Zum Schutz vor automatisierten Einsendungen nutzen wir Cloudflare Turnstile. Dazu wird beim Aufruf des Formulars ein Skript von challenges.cloudflare.com geladen, das technische Merkmale wie IP-Adresse, Browser- und Geräteeigenschaften sowie das Interaktionsverhalten auswertet und ein Prüf-Token erzeugt. Turnstile setzt keine Cookies zu Werbe- oder Analysezwecken. Das Token prüfen wir beim Absenden serverseitig bei Cloudflare. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Abwehr von Spam und Missbrauch; der Zugriff auf Ihr Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG für den von Ihnen gewünschten Formularversand unbedingt erforderlich. Ein unsichtbares Honeypot-Feld dient zusätzlich der Erkennung automatisierter Einsendungen. Die Übermittlung an Cloudflare richtet sich nach Abschnitt 3.

7. Terminbuchung über Cal.com

Für ein Erstgespräch kann der Terminplaner von Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA, eingebettet werden. Das Cal.com-Embed wird erst geladen, nachdem Sie dem Nachladen ausdrücklich zugestimmt und den Ladevorgang gestartet haben. Vorher findet keine Verbindung zu Cal.com statt.

Nach dem Laden verarbeitet Cal.com technische Daten wie IP-Adresse, Browserdaten und Zeitpunkt. Bei einer Buchung kommen Name, E-Mail-Adresse, gewählter Termin und freiwillige Notizen hinzu; Cal.com übermittelt die Buchung an uns und trägt sie in unseren Kalender ein. Für das Nachladen gilt Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG, für die Terminabwicklung Art. 6 Abs. 1 lit. b DSGVO. Cal.com ist für Buchungen über unser Konto Auftragsverarbeiter.

Cal.com beschreibt eine Verarbeitung in den USA und nennt Standardvertragsklauseln oder einen Angemessenheitsmechanismus wie das EU-US Data Privacy Framework. Buchungsdaten werden nach den Aufbewahrungsregeln des Anbieters gelöscht; unsere Kopie im Kalender und Postfach behandeln wir wie geschäftliche Korrespondenz. Alternativ können Sie einen Termin per E-Mail oder Telefon vereinbaren.

8. Website-Chat „Fragen Sie Synthova“

Der Chat startet erst nach einem ausdrücklichen Klick auf „Chat starten“. Vor dem Absenden weisen wir darauf hin, dass keine personenbezogenen, vertraulichen oder sonst schützenswerten Daten eingegeben werden sollen. Zweck ist ausschließlich die Beantwortung allgemeiner Fragen zu Synthova und den beschriebenen Leistungen; der Chat ersetzt keine Rechts-, Steuer- oder verbindliche Vertragsauskunft.

Verarbeitet werden die Eingabe mit höchstens 600 Zeichen und, soweit vorhanden, bis zu acht Nachrichten des laufenden Gesprächsverlaufs. Synthova speichert den Gesprächsinhalt nicht serverseitig. Für Missbrauchsbegrenzung wird die Client-IP als gekürzter SHA-256-Hash verarbeitet; die technischen Zähler liegen in Cloudflare Workers KV. Sie verfallen jeweils am Ende des laufenden 10-Minuten-Fensters beziehungsweise Tagesfensters, spätestens nach zehn Minuten beziehungsweise 24 Stunden.

Einziger Modellanbieter ist Mistral AI, 15 rue des Halles, 75001 Paris, Frankreich. Der Chat nutzt den Mistral-EU-Endpunkt. Mistral AI ist als Auftragsverarbeiter eingebunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG, weil der Chat erst nach Ihrem ausdrücklichen Start und dem Verarbeitungshinweis genutzt wird. Die Verarbeitung findet in dieser Konfiguration in der Europäischen Union statt; eine Übermittlung in ein Drittland ist nicht vorgesehen.

Mistral AI verarbeitet Eingabe und Antwort für die Dauer der Antworterzeugung und anschließend standardmäßig 30 rollierende Tage zur Missbrauchsüberwachung, sofern „Zero Data Retention“ nicht für die Organisation aktiviert ist. Für den Website-Chat wird eine Aktivierung von „Zero Data Retention“ nicht behauptet. Eine Weitergabe an weitere Empfänger ist für den Chat nicht vorgesehen.

9. Reichweitenmessung und Consent

Die Reichweitenmessung erfolgt mit Cloudflare Web Analytics, cookielos und ohne Einwilligung (siehe unten). Plausible Analytics ist derzeit nicht aktiv. Google Analytics 4 und Google Ads sind derzeit ebenfalls nicht aktiv; sie würden nur nach vorheriger Einwilligung über den Consent-Banner geladen, wenn die vorgesehenen Umgebungsvariablen gesetzt sind. Ohne diese Variablen bleibt der Consent-Banner inaktiv und es werden keine Google-Skripte geladen.

Cloudflare Web Analytics: Cloudflare fügt beim Ausliefern der Seiten ein kleines Skript von static.cloudflareinsights.com ein. Ihr Browser lädt es und übermittelt an Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) technische Aufrufdaten wie aufgerufene Seite, Referrer, Browser- und Betriebssystemtyp, Land sowie Leistungskennzahlen der Seite. Der Dienst setzt keine Cookies, legt keine Daten im Speicher Ihres Geräts ab und erstellt keine geräteübergreifenden Profile oder Fingerprints. Zweck ist die aggregierte Auswertung von Reichweite und Ladezeit, um die Website zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der stabile, schnelle Betrieb und die Weiterentwicklung der Website. Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen, etwa per E-Mail an die oben genannte Adresse. Für die Übermittlung in die USA gelten die unter Abschnitt 3 genannten Garantien.

Für einen aktivierten Google-Dienst sind Anbieter Google Ireland Limited, die verarbeiteten Geräte-, Browser-, Cookie- und Ereignisdaten sowie die Einwilligungs- und Widerrufslogik maßgeblich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Google LLC kann Daten in den USA verarbeiten; Details zu Property, Aufbewahrung, Cookies, Transfermechanismus und Widerruf werden vor Aktivierung abgeglichen. Bis dahin findet keine Messung statt.

10. Externe Links

Die Website verlinkt auf externe Angebote, etwa Dokumentationen und berufliche Netzwerke. Beim Anklicken verlassen Sie unsere Website; für die Datenverarbeitung auf der Zielseite ist der jeweilige Anbieter verantwortlich. Wir binden keine Social-Media-Plugins ein.

11. Blog und RSS-Feed

Blogbeiträge, Themenseiten und der RSS-Feed /blog/rss.xml werden statisch vom eigenen Hosting ausgeliefert. Der Abruf verursacht keine zusätzliche Datenerhebung außer den in Abschnitt 3 beschriebenen Server-Logdaten. Ein Newsletter, Bewerbungsverfahren und externe Video-Embeds werden derzeit nicht angeboten.

12. Veröffentlichung auf Social-Media-Plattformen (TikTok, YouTube, Instagram, Facebook, LinkedIn)

Diese Website selbst bindet keine Social-Media-Plugins ein (Abschnitt 10). Dieser Abschnitt betrifft die interne Anwendung „Synthova Publisher“: Wir betreiben auf einem selbst verwalteten Server die Open-Source-Software Postiz (geplant unter postiz.synthova.de), um eigene Beiträge und Videos auf unseren eigenen Konten bei TikTok, YouTube (Google), Instagram und Facebook (Meta) sowie LinkedIn zu planen und zu veröffentlichen. „Synthova Publisher“ ist unsere registrierte Entwickler-Anwendung für diese Schnittstellen (bei TikTok: Login Kit und Content Posting API mit „Direct Post“). Sie wird ausschließlich von uns für unsere eigenen Konten genutzt, etwa für die Marke Synthova und das Videoformat AhaLabor. Besucher dieser Website und Kunden müssen sich dort nicht anmelden und können sich dort nicht registrieren.

Zweck und Rechtsgrundlage. Zweck ist die effiziente, zeitlich geplante Veröffentlichung unserer eigenen Inhalte zur Information über unser Angebot und zur Öffentlichkeitsarbeit. Soweit dabei personenbezogene Daten der Kontoinhaber verarbeitet werden (insbesondere Daten des Verantwortlichen selbst und seiner Mitarbeiter), stützen wir dies auf Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von der jeweiligen Plattform bereitgestellten Nutzungsbeziehung für unsere eigenen Konten) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Öffentlichkeitsarbeit). Die Veröffentlichung selbst unterliegt zusätzlich den Bedingungen und Datenschutzerklärungen der jeweiligen Plattform.

Welche Daten. Über die Schnittstellen rufen wir nur ab, was für die Anbindung erforderlich ist:

  • Kontokennung und Anzeigename des verbundenen Kontos, bei TikTok die open_id, der Anzeigename und das Profilbild (Avatar), damit wir das richtige Konto auswählen können.
  • Zugriffs- und Aktualisierungstoken, die uns die Plattform nach Ihrer Autorisierung (OAuth) ausstellt. Wir erhalten nie Ihr Passwort.
  • Die von uns selbst erstellten Beiträge (Video, Text, Titel, Zeitplan) und der Status der Veröffentlichung, bei TikTok der Upload- und Veröffentlichungsstatus.

Wir lesen keine privaten Nachrichten, keine Follower- oder Zuschauerlisten und keine Daten Dritter aus. Es findet kein Tracking, kein Profiling und keine Weitergabe der abgerufenen Daten an Dritte statt, und wir verwenden die Daten nicht für Werbung oder zum Training von KI-Modellen.

Speicherort und Speicherdauer. Die Daten werden ausschließlich in der Datenbank unserer selbst betriebenen Postiz-Instanz gespeichert. Zugriffstoken werden so lange gespeichert, wie die Verknüpfung besteht, und bei Trennung der Verknüpfung oder Löschung des Kontos in Postiz gelöscht. Beiträge und Statusdaten löschen wir, wenn sie nicht mehr benötigt werden. Von uns veröffentlichte Inhalte liegen zusätzlich beim jeweiligen Plattformbetreiber, der dafür eigener Verantwortlicher ist.

Widerruf der Verknüpfung. Die Verknüpfung können Sie jederzeit mit Wirkung für die Zukunft beenden: in der Postiz-Verwaltung durch Entfernen des Kontos oder in den Sicherheits- bzw. Verbindungseinstellungen der Plattform (TikTok: Einstellungen und Datenschutz, „Sicherheit und Berechtigungen“; Google: Konto, „Sicherheit“, „Zugriff durch Drittanbieter“; Meta: Einstellungen, „Apps und Websites“; LinkedIn: Einstellungen, „Datenschutz“, „Daten und Dienste von Dritten“). Alternativ genügt eine Nachricht an [email protected]; wir löschen die gespeicherten Verbindungsdaten dann unverzüglich. Ihre Rechte nach Abschnitt 15 bleiben unberührt.

Plattformbetreiber und Drittländer. Die Plattformen verarbeiten Daten nach eigenen Datenschutzerklärungen und können sie in Drittländer übermitteln; wir haben darauf keinen Einfluss:

Hinweis zur TikTok-API. Die Nutzung der TikTok-Schnittstellen erfolgt im Rahmen der TikTok-Entwicklerbedingungen und der TikTok-Richtlinien für Entwickler. Die von TikTok abgerufenen Daten verwenden wir nur für die oben beschriebene Veröffentlichung auf unseren eigenen TikTok-Konten. Die Verknüpfung kann auch über die TikTok-Einstellungen widerrufen werden. Anfragen zu diesem Abschnitt richten Sie bitte an [email protected].

13. Empfänger, Drittlandübermittlungen und Auftragsverarbeiter

Empfänger oder Kategorien von Empfängern sind Cloudflare für Hosting, DNS, Server-Logs, Formularspeicher und Spam-Schutz, Cal.com für die Terminbuchung, die in Abschnitt 12 genannten Social-Media-Plattformen für die Veröffentlichung eigener Beiträge, Google für das E-Mail-Postfach und nur bei Aktivierung für Analytics/Ads sowie Mistral AI für den Website-Chat. Eine Weitergabe zu eigenen Zwecken außerhalb dieser Beschreibung findet nicht statt. Drittlandübermittlungen erfolgen nur, soweit oben beschrieben, auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

14. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Die konkreten Fristen stehen in den Abschnitten 3, 5, 6, 7, 8, 9 und 12. Gesetzliche Aufbewahrungspflichten bleiben unberührt; Geschäftsbriefe werden grundsätzlich sechs Jahre und Buchungs- oder Rechnungsbelege grundsätzlich zehn Jahre aufbewahrt.

15. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

  • Auskunft und Kopie der Daten nach Art. 15 DSGVO.
  • Berichtigung und Vervollständigung nach Art. 16 DSGVO.
  • Löschung nach Art. 17 DSGVO und Einschränkung nach Art. 18 DSGVO.
  • Datenübertragbarkeit nach Art. 20 DSGVO.
  • Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. e oder f DSGVO.
  • Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Zur Ausübung genügt eine formlose Nachricht an [email protected].

16. Beschwerderecht

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, www.ldi.nrw.de.

17. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Bereitstellung ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Pflichtangaben können wir eine Anfrage oder Buchung jedoch nicht bearbeiten. Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO findet auf dieser Website nicht statt.

18. Sicherheit

Die Website wird über HTTPS/TLS ausgeliefert. Zugriffe auf Postfach und Kalender sind durch Mehrfaktor-Authentifizierung geschützt; Zugangsdaten werden nicht im Repository gespeichert.

19. Änderungen

Wir passen diese Erklärung an, sobald sich Dienste, technische Konfiguration oder Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.