Rechtliches

Datenschutzerklärung

der Cortexion GmbH · Stand: 12. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und – soweit nicht abweichend vereinbart – im Rahmen der KI-Plattform Cortexion ist:

Cortexion GmbH
Vitalisstraße 67
50827 Köln, Deutschland
Telefon: +49 221 67763990
E-Mail: datenschutz@cortexion.ai

Vertreten durch die Geschäftsführer Johannes Partz, Marc Bode und Markus Offermann. Eingetragen im Handelsregister B des Amtsgerichts Köln unter HRB 129090, Umsatzsteuer-Identifikationsnummer DE464651925.

Für alle Fragen zum Datenschutz erreichen Sie uns unter datenschutz@cortexion.ai oder postalisch unter der oben genannten Anschrift mit dem Zusatz „Datenschutz“.

Ein Hinweis vorab: Nutzen Unternehmen die Cortexion-Plattform für ihre eigenen Inhalte und Daten, sind sie für diese Daten selbst Verantwortliche im Sinne der DSGVO. Wir verarbeiten diese Daten dann als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (siehe Abschnitt 12).

2. Überblick und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb dieser Website, die Beantwortung Ihrer Anfragen, die Bereitstellung unserer Leistungen oder die Erfüllung rechtlicher Pflichten erforderlich ist. Je nach Vorgang stützen wir die Verarbeitung auf folgende Rechtsgrundlagen:

  • Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung, etwa für die Erfolgsmessung unserer Anzeigen oder eine optionale Web-Analyse; die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen;
  • Art. 6 Abs. 1 lit. b DSGVO – Anbahnung oder Erfüllung eines Vertrags, etwa bei Anfragen für einen Website-Entwurf, bei der Anmeldung für einen Arbeitsbereich und der Nutzung der Plattform;
  • Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtungen, etwa handels- und steuerrechtliche Aufbewahrungspflichten;
  • Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einem sicheren, stabilen Betrieb der Website, an der Abwehr von Missbrauch und an einer datensparsamen Reichweitenmessung.

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Dienstleister ein – etwa in den Bereichen Hosting und IT-Infrastruktur, E-Mail-Versand, Analyse, Zahlungsabwicklung und Kommunikation. Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, geschieht dies auf Grundlage von Auftragsverarbeitungsverträgen nach Art. 28 DSGVO.

3. Hosting und Server-Logfiles

Diese Website wird in einem Rechenzentrum in Deutschland betrieben. Mit unseren Hosting-Dienstleistern haben wir Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen; eine Verarbeitung findet ausschließlich nach unserer Weisung statt.

Beim Aufruf unserer Seiten erfasst der Webserver automatisch technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, HTTP-Statuscode, Referrer-URL sowie Browser und Betriebssystem. Diese Daten dienen der Auslieferung der Website, der Fehleranalyse und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden in regelmäßigen Abständen gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind.

4. Cookies und lokale Speicherung

Abgesehen von den Einträgen, die nur mit Ihrer Einwilligung entstehen – für die Erfolgsmessung unserer Anzeigen (Marketing, siehe Abschnitt 6) und für die Nutzungsanalyse (siehe Abschnitt 5a) –, verwendet diese Website ausschließlich technisch notwendige Cookies und vergleichbare Speichertechnologien. Sie dienen insbesondere dazu, unser Anfrageformular vor missbräuchlicher Nutzung zu schützen (etwa CSRF-Schutz und Begrenzung automatisierter Anfragen) und sitzungsbezogene Einstellungen bereitzuhalten. Diese Cookies enthalten keine Profildaten und werden nicht zu Analysezwecken genutzt. Das Sitzungs-Cookie verfällt mit dem Ende Ihrer Browsersitzung, Einträge im Sitzungsspeicher beim Schließen des Browser-Tabs; Ihre Cookie-Entscheidung und cx-track-off bleiben im lokalen Speicher, bis Sie sie ändern oder die Websitedaten löschen.

Rechtsgrundlage hierfür ist § 25 Abs. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; eine Einwilligung ist dafür nicht erforderlich.

Technisch nicht notwendige Speichereinträge setzen wir nur für die Erfolgsmessung unserer Anzeigen (siehe Abschnitt 6) und für die Nutzungsanalyse (siehe Abschnitt 5a) ein – und ausschließlich, nachdem Sie ausdrücklich eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Solange Sie nicht zugestimmt haben oder ablehnen, wird kein entsprechender Eintrag angelegt. Ihre Entscheidung speichern wir in Ihrem Browser (lokaler Speicher, Einträge cx-consent-marketing-v1 und cx-consent-analytics-v1), damit wir Sie nicht bei jedem Seitenaufruf erneut fragen müssen; ändern können Sie sie jederzeit über die Schaltfläche „Cookie-Einstellungen“ am Ende jeder Seite.

Haben Sie in die Nutzungsanalyse eingewilligt, legt unser Messskript außerdem diese Einträge an: cx-vid-v1 (lokaler Speicher, zufällig erzeugte Besucherkennung; wir verwenden sie bis 90 Tage nach Ihrem letzten Besuch mit Nutzungsanalyse, danach ersetzt das Messskript sie beim nächsten Besuch durch eine neue) sowie cx-sid-v1 und cx-ctx-v1 (Sitzungsspeicher, zufällig erzeugte Sitzungskennung sowie Herkunft und technische Angaben des Besuchs; sie werden beim Schließen des Browser-Tabs gelöscht). Widerrufen Sie Ihre Einwilligung, löscht das Messskript alle drei Einträge. Rufen Sie eine Seite mit dem Zusatz ?tracking=aus auf, speichern wir den Eintrag cx-track-off (lokaler Speicher); solange er besteht, findet in diesem Browser keine Nutzungsanalyse statt. Der Zusatz ?tracking=an löscht ihn wieder.

Für unser Anfrageformular legt diese Website außerdem den Eintrag cx-inquiry an (Sitzungsspeicher, Zwischenstand des Formulars, damit Ihre Angaben beim Neuladen der Seite erhalten bleiben: der Schritt, in dem Sie sich befinden, Ihre angeklickten Antworten, Ihre Beschreibung, eine selbst eingetragene Branche und die Adresse Ihrer bestehenden Website – diese Angaben zusätzlich so, wie die Zusammenfassung im letzten Schritt sie zeigt –, nicht aber Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Adressen von Vorbild-Websites oder Dateien). Der Eintrag entsteht erst, wenn Sie im Formular etwas eintragen oder auswählen; das bloße Laden einer Seite mit dem Formular legt ihn nicht an. Er wird nach dem erfolgreichen Absenden gelöscht, sonst beim Schließen des Browser-Tabs. Damit „Zurück“ im Browser einen Schritt des Formulars zurückgeht, trägt die Seite außerdem jeden Schritt, den Sie aufrufen, in den Verlauf dieses Browser-Tabs ein; gespeichert wird dabei nur die Nummer des Schritts, und der Verlauf verschwindet mit dem Tab.

Nur wenn Sie in die Nutzungsanalyse eingewilligt haben (siehe Abschnitt 5a), legt das Anfrageformular außerdem den Eintrag lp-campaign an (Sitzungsspeicher, Werbeparameter aus der Adresse, über die Sie eine Seite mit unserem Anfrageformular – etwa eine unserer Kampagnenseiten – aufgerufen haben: die Werte von utm_source, utm_medium, utm_campaign, utm_term, utm_content und gclid, je höchstens 150 Zeichen). Er entsteht nur, wenn die Adresse mindestens einen dieser Parameter enthält, und wird beim Schließen des Browser-Tabs gelöscht, mit einem Widerruf der Einwilligung sofort. Ohne diese Einwilligung liest das Formular die Werbeparameter nur aus der Adresse der Seite, auf der es steht, und speichert nichts. Die Werbeparameter übernimmt das Formular in Ihre Anfrage: Sie gehen mit ihr an uns, werden mit ihr gespeichert und stehen nach der Bestätigung Ihrer E-Mail-Adresse in der Benachrichtigung an unser Team.

Haben Sie in die Erfolgsmessung unserer Anzeigen eingewilligt, legt die Seite außerdem Einträge cx-measured-… an (lokaler Speicher, Zeitpunkt, zu dem die Seite eine abgeschickte Anfrage oder eine abgeschlossene Buchung an den Messpunkt gemeldet hat, siehe Abschnitt 6; so meldet ein Neuladen der Seite dasselbe Ereignis innerhalb von sechs Stunden nicht ein zweites Mal). Der Name des Eintrags nennt das Ereignis, bei Anfragen außerdem ihre Herkunft (etwa eine unserer Kampagnenseiten oder die Reseller-Anfrage) sowie den zufällig erzeugten Einmal-Schlüssel der Anfrage, wenn die Seite ihn erhalten hat. Ohne diese Einwilligung legt die Seite keinen solchen Eintrag an. Widerrufen Sie die Einwilligung, löscht die Seite diese Einträge zusammen mit den Speichereinträgen des Messpunkts (siehe Abschnitt 6); sonst bleiben sie gespeichert, bis Sie die Websitedaten in Ihrem Browser löschen.

5. Reichweitenmessung und Web-Analyse

Zur Verbesserung unseres Angebots werten wir Besuche auf dieser Website mit der cookielosen Besucherstatistik unserer Website-Plattform aus. Gezählt wird beim Abruf einer Seite auf dem Server; dazu bestätigt Ihr Browser den Aufruf über das Skript /_cortexion/b.js mit einer Ereignis-ID, die der Server für diesen Abruf vergeben hat. Auf Ihrem Gerät wird dabei nichts gespeichert, Cookies gibt es keine.

Um eindeutige Besucher zählen zu können, bildet der Server je Tag einen Hashwert aus Ihrer IP-Adresse und der Kennung Ihres Browsers, und zwar mit einem täglich neuen Schlüssel, der am Folgetag gelöscht wird. Besucher lassen sich deshalb nicht über mehrere Tage verfolgen; die IP-Adresse selbst wird nicht gespeichert. Ausgewertet werden die aufgerufene Seite, die Herkunft des Besuchs (Kanal bzw. verweisende Seite), Kampagnenparameter aus der Adresse (utm_source, utm_medium, utm_campaign, utm_term, utm_content), das aus der IP-Adresse abgeleitete Land, Gerätetyp bzw. Browser und abgeschickte Anfragen als Ziel (Conversions). Einzelne Ereignisse speichern wir 100 Tage, Tageswerte 730 Tage und Conversions 400 Tage. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

Darüber hinaus messen wir mit Ihrer Einwilligung, wie Schaltflächen und Formulare auf dieser Website genutzt werden (siehe Abschnitt 5a).

5a. Nutzungsanalyse (Interaktionsmessung)

Mit Ihrer Einwilligung messen wir, wie unsere Seiten und Formulare genutzt werden: welche Schaltflächen und Links angeklickt werden, an welcher Stelle ein Formular verlassen wird und über welche Quelle – etwa eine Anzeige, eine Suchmaschine oder einen direkten Aufruf – ein Besuch zu einer Anfrage führt. Damit verbessern wir Seiten und Formulare und werten aus, woher unsere Anfragen kommen.

Was wir messen: Erst nachdem Sie eingewilligt haben, lädt Ihr Browser unser Messskript. Es meldet, welches Element Sie wann und wie lange benutzen, nicht aber, was Sie eintragen. Im Einzelnen sind das:

  • Seitenaufrufe mit der Adresse und dem Titel der Seite und der Art des Aufrufs (neu, neu geladen oder über „Zurück“ bzw. „Vorwärts“), die Zeit, in der die Seite sichtbar war, wie weit Sie gescrollt, welche Abschnitte Sie gesehen und wie oft Sie auf der Seite geklickt haben;
  • Klicks auf Links und Schaltflächen mit deren Bezeichnung und dem Bereich der Seite, bei Links außerdem die Art und das Ziel – eine Seite dieser Website, bei anderen Websites nur deren Domain, bei E-Mail- und Telefonlinks nur die Art des Links – sowie mehrere schnelle Klicks hintereinander auf dasselbe Element;
  • in Formularen, wann ein Formular sichtbar wird, begonnen, abgeschickt, zurückgesetzt oder verlassen wird, beim Verlassen mit dem zuletzt benutzten Feld und der Zahl der benutzten und der ausgefüllten Felder, beim Absenden mit der Zahl der Felder, die noch nicht gültig ausgefüllt sind; bei unseren Anfrageformularen außerdem je Feld, wann Sie es betreten und verlassen, wie lange Sie darin waren, ob es ausgefüllt und gültig ist, wie oft Sie darin etwas gelöscht haben und welche Art von Fehlermeldung erschienen ist, und im mehrstufigen Anfrageformular den Wechsel zwischen den Schritten mit der Zeit je Schritt;
  • bei Auswahlfeldern dieser Anfrageformulare (Auswahllisten, Optionsfelder und Kästchen, etwa für Branche oder Zeitrahmen) die gewählte oder abgewählte Option, beim Kästchen zur Datenschutzerklärung nur, ob es angekreuzt ist, und bei Ihrer Beschreibung im Anfrageformular nur die Zahl der Zeichen;
  • beim Hochladen von Dateien nur deren Anzahl, eine Größenklasse und die Dateiendungen;
  • bei unseren Werkzeugen selbst nur, dass ein Werkzeug benutzt wurde und ein Ergebnis angezeigt hat; beim Anfrage-Kasten auf den Werkzeugseiten, wann er sichtbar wird, begonnen, abgeschickt oder verlassen wird, jeweils mit dem Schritt des Formulars, beim Beginnen mit dem ersten benutzten Feld und der Zeit seit dem Erscheinen, beim Verlassen mit dem zuletzt benutzten Feld, der Zeit seit dem Beginnen und der Zahl der benutzten und der ausgefüllten Felder, beim Absenden mit der Zahl der Felder, die noch nicht gültig ausgefüllt sind, aber keine Ereignisse zu einzelnen Feldern, Schritten oder Dateien und keine gewählten Optionen; beim Website-Check das Absenden, die Art des Ausgangs (Ergebnis, Fehler oder Begrenzung) und die Dauer; bei der Buchung eines Tarifs die gewählte Stufe, Zahlungsweise und Nutzerzahl;
  • Ladezeiten der Seite und Skriptfehler (Art des Fehlers und Name der Skriptdatei), bei Fehlern des Messskripts selbst nur deren Zahl;
  • wie unser Server ein abgeschicktes Formular verarbeitet hat (etwa angenommen oder unvollständig) und ob eine Anfrage später bestätigt wurde.

Zu jeder Sitzung speichern wir außerdem die erste aufgerufene Seite, die Domain der Website, von der Sie gekommen sind, Kampagnenangaben aus der Adresse (utm-Parameter) und Klick-Kennungen, die Werbenetzwerke an Adressen anhängen (etwa gclid oder fbclid), jeweils mit ihrem Wert, dazu den Gerätetyp (Smartphone, Tablet oder Computer), die Spracheinstellung des Browsers, Breite und Höhe des Browserfensters, ob ein heller oder dunkler Darstellungsmodus und ob reduzierte Bewegung eingestellt ist. Browser und Betriebssystem leitet unser Server ohne Versionsnummer aus der Browserkennung ab; die Browserkennung selbst speichern wir nicht. Zur Besucherkennung halten wir zusätzlich die Herkunft Ihres ersten Besuchs fest.

Was wir nicht messen: Den Inhalt Ihrer Texteingaben – etwa Name, E-Mail-Adresse, Telefonnummer, Firma, Adressen oder Nachrichten – übertragen wir nicht, ebenso wenig Tastenanschläge, Mausbewegungen, die Zwischenablage, Dateinamen oder Dateiinhalte und keine Aufzeichnung der Bildschirmanzeige. Bei Werkzeugen und beim Website-Check messen wir weder Eingaben noch Auswahlwerte noch den Inhalt von Ergebnissen. Zusätze und Sprungmarken in Seitenadressen entfernen wir vor dem Speichern; ausgenommen sind nur die oben genannten Kampagnenangaben und Klick-Kennungen. Enthält die Meldung eines Ereignisses ein „@“ oder sieben und mehr Ziffern in Folge, verwerfen sie schon Ihr Browser und noch einmal unser Server. Ihre vollständige IP-Adresse speichern wir nicht, und wir bilden keinen Fingerabdruck Ihres Browsers (etwa über Canvas, Audio, installierte Schriften oder Hardwaremerkmale). Auf Seiten, deren Titel oder Links Ihre Angaben enthalten können (Ihre persönliche Entwurfsseite, Ergebnis und Bericht des Website-Checks), senden wir weder den Seitentitel noch die Domain externer Links; auf der Seite zur Bestätigung Ihrer E-Mail-Adresse erfasst das Messskript nichts, dort vermerken wir nur die Bestätigung einer verknüpften Anfrage (siehe unten). Der Cookie-Banner und die Cookie-Einstellungen werden nicht gemessen.

Kennungen in Ihrem Browser: Mit Ihrer Einwilligung legt das Messskript zufällig erzeugte Kennungen an: eine Besucherkennung im lokalen Speicher, die wir bis 90 Tage nach Ihrem letzten Besuch mit Nutzungsanalyse verwenden, sowie eine Sitzungskennung, die Herkunft und die technischen Angaben des Besuchs im Sitzungsspeicher, die beim Schließen des Browser-Tabs gelöscht werden; nach 30 Minuten ohne Aktivität beginnt eine neue Sitzung. Cookies setzt die Nutzungsanalyse nicht. Über diese Kennungen ordnen wir die Messdaten eines Besuchs und späterer Besuche aus demselben Browser einander zu; die Daten sind deshalb pseudonym. Die einzelnen Einträge nennt Abschnitt 4. Sendet Ihr Browser das Signal „Global Privacy Control“, findet keine Nutzungsanalyse statt, auch wenn Sie eingewilligt haben.

Verknüpfung mit Ihrer Anfrage: Schicken Sie mit erteilter Einwilligung ein Formular ab, das Ihre Angaben an unseren Server sendet, übermittelt Ihr Browser die Besucher- und die Sitzungskennung mit; ausgenommen sind unsere Werkzeuge selbst, die Eingabe der Domain beim Website-Check und die Buchung eines Tarifs, während der Anfrage-Kasten auf den Werkzeugseiten die Kennungen wie jedes Anfrageformular mitsendet. Verwendet werden die Kennungen nur beim Anfrageformular, bei der Kaufanfrage auf Ihrer Entwurfsseite und bei der Reseller-Anfrage: Wir verknüpfen dann die Anfragenummer mit den Messdaten Ihres Besuchs und sehen so, über welche Quelle und auf welchem Weg durch das Formular die Anfrage entstanden ist und – bei Anfragen mit Bestätigung – wann Sie Ihre E-Mail-Adresse bestätigt haben. In der Benachrichtigung an unser Team ergänzen wir die Herkunft dieses und Ihres ersten Besuchs (Quelle, Kampagne, Einstiegsseite und den Namen einer Klick-Kennung ohne deren Wert); diese Benachrichtigung läuft über den in Abschnitt 10 beschriebenen Versandweg. Ohne Einwilligung findet keine Verknüpfung statt.

Rechtsgrundlage und Widerruf: Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen: Am Ende jeder Seite finden Sie dazu die Schaltfläche „Cookie-Einstellungen“. Mit dem Widerruf endet die Messung sofort; das Messskript löscht die Kennungen in Ihrem Browser und meldet den Widerruf unserem Server, der daraufhin alle Messdaten zu Ihrer Besucherkennung löscht, auch die Verknüpfungen mit Anfragen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Zum Nachweis speichern wir zu Einwilligung und Widerruf jeweils Ihre Besucherkennung, den Zeitpunkt, die Art des Eintrags und die Fassung des Einwilligungstexts. Löschen Sie nur die Websitedaten in Ihrem Browser, endet die Messung ebenfalls, die bis dahin gespeicherten Messdaten bleiben aber bis zum Ablauf der Speicherdauer bestehen. Auf eine Nachricht an uns löschen wir sie jederzeit: über die Anfragenummer Ihrer Anfrage oder über die Besucherkennung aus dem Eintrag cx-vid-v1 Ihres Browsers.

Speicherdauer: Messdaten löschen wir 400 Tage nach ihrer Erfassung, Angaben zu Sitzung und Besucherkennung 400 Tage nach der letzten Aktivität und Verknüpfungen 400 Tage nach der Anfrage. Den Nachweis von Einwilligung und Widerruf bewahren wir 1.100 Tage nach dem jeweiligen Eintrag auf; solange wir zu dieser Besucherkennung noch Angaben gespeichert haben, löschen wir ihn nicht. Gelöscht wird bei der nächsten Bereinigung der Datenbank; sie läuft mit eingehenden Messdaten, höchstens einmal am Tag.

Schutz vor Missbrauch: Wir begrenzen die Zahl der Meldungen je Sitzung und je Internetanschluss. Dafür speichern wir die Sitzungskennung und einen Hashwert Ihrer IP-Adresse (nicht die Adresse selbst), der mit einem täglich wechselnden Schlüssel gebildet wird, jeweils mit der Minute und der Zahl der Meldungen. Nach zwei Stunden werden diese Einträge bei einer der nächsten Meldungen gelöscht.

Empfänger und Speicherort: Das Messskript sendet ausschließlich an unseren eigenen Server; an andere Anbieter übermitteln wir die Messdaten nicht, ausgenommen die Herkunftsangaben in der Benachrichtigung an unser Team (siehe oben). Die Messdaten liegen in einer eigenen Datenbank auf dem Server dieser Website, getrennt von Ihren Anfragen; für das Hosting gilt Abschnitt 3. Ihre Rechte aus Abschnitt 21 gelten auch für die Nutzungsanalyse.

6. Erfolgsmessung unserer Anzeigen (ChatGPT Ads)

Wir bewerben diese Website unter anderem über Anzeigen bei ChatGPT Ads. Um zu erkennen, ob ein Besuch aus einer solchen Anzeige zu einer Anfrage oder einer Buchung geführt hat, setzen wir den Messpunkt („Pixel“) von OpenAI ein. Anbieter ist OpenAI, L.L.C., 1455 3rd Street, San Francisco, CA 94158, USA.

Der Messpunkt wird ausschließlich mit Ihrer Einwilligung geladen. Solange Sie nicht zugestimmt haben, wird weder eine Datei von OpenAI abgerufen noch eine Kennung auf Ihrem Gerät gespeichert; die Seite hält die Ereignisse lediglich unversendet im Arbeitsspeicher Ihres Browsers. Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Willigen Sie ein, verarbeitet der Messpunkt insbesondere: die aufgerufene Seite, die verweisende Seite und den Zeitpunkt, die Art des Ereignisses (Seitenaufruf, abgeschickte Anfrage bzw. abgeschlossene Registrierung – dazu zählt auch eine Reseller-Anfrage –, abgeschlossene Buchung), eine zufällig erzeugte Kennung Ihres Browsers, die Kennung der Anzeige, über die Sie gekommen sind, Ihre IP-Adresse sowie technische Angaben zu Browser und Gerät.

Dafür legt der Messpunkt in Ihrem Browser diese Einträge an: die Cookies __obref (zufällig erzeugte Kennung Ihres Browsers, die mit jedem Ereignis an OpenAI geht; ein Jahr), __oaiq_consent (Ihre Einwilligung; 30 Tage), __oppref (Klick-Kennung aus der Anzeige, über die Sie gekommen sind; 30 Tage) und __oaiq_domain_probe (Prüfung, auf welcher Domain sich Cookies setzen lassen; 60 Sekunden), im lokalen Speicher oaiq_consent (Ihre Einwilligung; bis zum Widerruf oder bis Sie die Websitedaten löschen) und im Sitzungsspeicher oaiq_cs:<Pixel-ID> (ob in dieser Sitzung schon ein Besuch und eine Einwilligung gemeldet wurden; bis zum Schließen des Browser-Tabs). Die Server von OpenAI, von denen der Messpunkt geladen wird und an die er meldet (bzrcdn.openai.com und bzr.openai.com), setzen außerdem auf ihren eigenen Domains die Cookies __cf_bm (30 Minuten) und _cfuvid (bis zum Ende der Browsersitzung).

Ihre Formulareingaben – etwa Name, E-Mail-Adresse oder Telefonnummer – geben wir nicht an den Messpunkt. Weil er solche Angaben in Formularen selbst erkennen und als Hashwert (SHA-256) mitsenden kann, ist die Seite so eingerichtet, dass er sie nicht findet: Bevor die Seite eine abgeschickte Anfrage meldet, leert sie das Formular, und solange Sie solche Angaben eingetragen, aber noch nicht abgeschickt haben, lädt sie den Messpunkt nicht.

Zweck ist allein die Messung des Werbeerfolgs; die Daten werden an Server von OpenAI übermittelt, auch in die USA. OpenAI ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission. Einzelheiten zur Verarbeitung durch OpenAI finden Sie unter openai.com/policies/privacy-policy.

Eine abgeschlossene, bezahlte Buchung melden wir zusätzlich von unserem Server aus an OpenAI, weil eine Bezahlung auch dann zustande kommt, wenn Sie die Bestätigungsseite nie zu sehen bekommen. Übermittelt werden dabei ausschließlich die Art des Ereignisses („Buchung abgeschlossen“), eine von uns vergebene Vorgangsnummer, der Zeitpunkt und die Adresse der Bestätigungsseite. Angaben zu Ihrer Person – Name, E-Mail-Adresse, IP-Adresse sowie Browser- und Gerätedaten – werden dabei nicht übertragen; auf Ihrem Endgerät wird für diese Meldung nichts gespeichert und nichts ausgelesen. Rechtsgrundlage ist unser berechtigtes Interesse an einer Erfolgskontrolle unserer Anzeigen (Art. 6 Abs. 1 lit. f DSGVO). Gezählt wird eine Buchung in jedem Fall nur einmal: Meldet unser Server das Ereignis, verzichtet der Messpunkt in Ihrem Browser darauf.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen: Am Ende jeder Seite finden Sie dazu die Schaltfläche „Cookie-Einstellungen“. Mit dem Widerruf löscht die Seite die oben genannten Einträge in Ihrem Browser und die Einträge cx-measured-… (siehe Abschnitt 4), und der Messpunkt wird nicht erneut geladen. Die Cookies __cf_bm und _cfuvid liegen auf den Domains von OpenAI und lassen sich von unserer Seite aus nicht löschen; sie laufen nach 30 Minuten bzw. mit dem Ende der Browsersitzung ab. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

7. Kontakt- und Beratungsanfragen

Wenn Sie uns über unser Formular kontaktieren, verarbeiten wir die von Ihnen eingetragenen Angaben. Das sind: Ihr Name, Ihre E-Mail-Adresse und Ihre Freitext-Beschreibung, auf unseren Kampagnenseiten außerdem Ihre Telefonnummer und auf unserer Kampagnenseite /lp-7 bei einem Relaunch die Adresse Ihrer bestehenden Website, sowie – sofern Sie diese angeben – Unternehmen, die Adresse Ihrer bestehenden Website, wo sie keine Pflichtangabe ist, und auf allen übrigen Seiten Ihre Telefonnummer. Ihre Telefonnummer verwenden wir für Rückfragen zu Ihrer Anfrage. Zum Schutz vor automatisierten Anfragen setzt das Formular technische Prüfungen ein (unter anderem ein verstecktes Kontrollfeld und eine Zeitprüfung); zusätzliche personenbezogene Daten werden dabei nicht erhoben (Art. 6 Abs. 1 lit. f DSGVO).

Die Angaben werden verschlüsselt übertragen und in unserer Datenbank gespeichert. Jede Anfrage erhält eine Anfragenummer, die Sie auf der Seite nach dem Absenden und in unseren E-Mails wiederfinden. Haben Sie eine Seite mit unserem Anfrageformular über eine Adresse mit Werbeparametern aufgerufen (utm_source, utm_medium, utm_campaign, utm_term, utm_content oder gclid, siehe Abschnitt 4), sendet das Formular deren Werte mit Ihrer Anfrage an uns – ohne Einwilligung in die Nutzungsanalyse nur aus der Adresse der Seite, auf der Sie das Formular absenden, mit dieser Einwilligung auch dann, wenn Sie die Adresse zuvor im selben Browser-Tab auf einer anderen Seite mit dem Formular aufgerufen haben; wir speichern sie mit der Anfrage und nennen sie nach der Bestätigung Ihrer E-Mail-Adresse in der Benachrichtigung an unser Team, nehmen sie aber weder in die Angaben für Ihre Bestätigungs-E-Mail noch in die Übergabe an unsere Plattform zur Erstellung des Entwurfs auf.

Bestätigung Ihrer E-Mail-Adresse (Double-Opt-in): Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie diesen Link anklicken, gilt Ihre Anfrage als gestellt: Erst dann leiten wir sie zur Bearbeitung an die zuständigen Mitarbeitenden weiter und beginnen mit der Vorbereitung Ihres Entwurfs. So stellen wir sicher, dass niemand unter einer fremden E-Mail-Adresse eine Anfrage auslöst. Der Link ist sieben Tage gültig; über die Seite nach dem Absenden können Sie die E-Mail bis zu dreimal erneut anfordern. Für den Versand übergeben wir Ihre Anfragenummer, Ihren Namen beziehungsweise Firmennamen, Ihre E-Mail-Adresse und den Bestätigungslink an den in Abschnitt 10 beschriebenen Versandweg. Bestätigen Sie Ihre Adresse nicht, löschen wir die Anfrage samt hochgeladener Dateien automatisch, sobald der Bestätigungslink seit sieben Tagen abgelaufen ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung oder Erfüllung eines Vertrags); für die Bestätigung der E-Mail-Adresse zusätzlich unser berechtigtes Interesse am Schutz vor missbräuchlichen Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Daten in der Regel, sobald der Vorgang abgeschlossen ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Reseller-Anfrage: Über das Formular auf unserer Seite Für Reseller können Sie sich als Reseller bewerben. Dabei verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Namen Ihrer Agentur oder Firma sowie – sofern Sie diese angeben – die Adresse Ihrer Website, die Zahl der Kunden-Websites, die Sie pro Jahr betreuen oder planen, und Ihre Nachricht. Wir nutzen diese Angaben, um Ihre Anfrage zu bearbeiten und Ihnen zu antworten. Die Anfrage wird mit einer Anfragenummer und dem Zeitpunkt des Eingangs in unserer Datenbank gespeichert; anschließend übergeben wir alle Angaben als Benachrichtigung an unser Team über den in Abschnitt 10 beschriebenen Versandweg. Eine Bestätigung Ihrer E-Mail-Adresse (Double-Opt-in) gibt es bei dieser Anfrage nicht, und wir schicken Ihnen keine automatische E-Mail. Haben Sie in die Erfolgsmessung unserer Anzeigen eingewilligt, meldet die Seite die eingegangene Anfrage an den Messpunkt von OpenAI, ohne Ihre Angaben (siehe Abschnitt 6). Zum Schutz vor automatisierten Anfragen gelten dieselben technischen Prüfungen wie beim Kontaktformular. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags). Wir löschen die Daten in der Regel, sobald der Vorgang abgeschlossen ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Haben Sie in die Nutzungsanalyse eingewilligt, verknüpfen wir die Anfragenummer Ihrer Anfrage nach diesem Abschnitt oder nach Abschnitt 8 mit den Messdaten Ihres Besuchs, also mit seiner Herkunft und Ihrem Weg durch das Formular (siehe Abschnitt 5a).

8. Websitebuilder: Entwurf, Relaunch und KI-Auftrag

Über unser Formular können Sie einen kostenlosen Website-Entwurf anfordern. Dabei verarbeiten wir – je nach gewähltem Weg – Ihre Angabe, ob eine neue Website entstehen oder eine bestehende Website erneuert werden soll (Relaunch), die Adresse der bestehenden Website sowie Ihre Freitext-Beschreibung der gewünschten Website. Beachten Sie bitte, dass Freitexte nur die Angaben enthalten sollten, die für Ihren Auftrag nötig sind.

Das Formular führt Sie in mehreren Schritten durch die Anfrage. Pflichtangaben sind dabei nur Ihr Anliegen (neue Website oder Relaunch), Ihre Beschreibung sowie Name und E-Mail-Adresse, auf unseren Kampagnenseiten zusätzlich Ihre Telefonnummer, die wir für Rückfragen zu Ihrer Anfrage verwenden, auf unserer Kampagnenseite /lp-7 bei einem Relaunch außerdem die Adresse Ihrer bestehenden Website. Alle weiteren Angaben sind ausdrücklich freiwillig und als solche gekennzeichnet: Ihre Branche, die Ziele, die Sie mit Ihrer Website verfolgen, die gewünschten Seiten, die bevorzugte Gestaltung und Farbwelt sowie Ihr Zeitrahmen. Damit Ihre Angaben bei einem versehentlichen Neuladen der Seite nicht verloren gehen, speichert Ihr Browser ab Ihrer ersten Eingabe oder Auswahl im Formular bei jeder Änderung die angeklickten Antworten, Ihre Beschreibung, eine selbst eingetragene Branche und die Adresse Ihrer bestehenden Website vorübergehend lokal (Sitzungsspeicher); diese Daten verlassen Ihr Gerät ohne Ihre Einwilligung in die Nutzungsanalyse erst mit dem Absenden des Formulars und werden beim Schließen des Browser-Tabs gelöscht. Haben Sie in die Nutzungsanalyse eingewilligt, meldet unser Messskript schon vor dem Absenden die in Abschnitt 5a beschriebenen Angaben zu diesem Formular.

Freiwillig können Sie zusätzlich bis zu drei Adressen von Websites nennen, die Ihnen gestalterisch gefallen, bis zu drei Adressen von Websites, die Sie inhaltlich überzeugen, sowie Bilder und PDF-Dateien hochladen (etwa Produktfotos, Angebote oder Unternehmenspräsentationen; Kundendaten darin schwärzen Sie bitte vorher). Diese Angaben nutzen wir ausschließlich, um Ihren Website-Entwurf zu erstellen. Hochgeladene Dateien werden auf unserem Server außerhalb des öffentlich abrufbaren Bereichs gespeichert und sind nicht öffentlich aufrufbar. Zur Erstellung des Entwurfs übergeben wir nach Ihrer Bestätigung einen signierten, auf sieben Tage befristeten Abruflink zu diesen Dateien an unsere eigene Plattform (siehe Abschnitt 12). Bitte laden Sie keine Dateien mit besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) hoch.

Ihre Angaben werden gespeichert. Nach dem Absenden bitten wir Sie zunächst per E-Mail, Ihre E-Mail-Adresse zu bestätigen (siehe Abschnitt 7). Erst nach Ihrer Bestätigung werden Ihre Angaben an unser Team weitergeleitet und für die Erstellung des ersten Entwurfs verwendet. Nennen Sie uns eine bestehende Website, rufen wir deren öffentlich zugängliche Inhalte zur Vorbereitung des Entwurfs ab. Zur Erstellung des Entwurfs können Ihre Angaben an die in Abschnitt 12 beschriebenen KI-Modelle übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Ihre Anfrage). Kommt kein Vertrag zustande, löschen wir die Daten in regelmäßigen Abständen, sobald sie für den Vorgang nicht mehr erforderlich sind.

Dasselbe Verfahren gilt für die Kaufanfrage auf Ihrer persönlichen Entwurfsseite. Dort verarbeiten wir Ihren Firmennamen, Ihre E-Mail-Adresse, die Adresse und Kennung Ihres Entwurfs sowie Ihre Nachricht; auch diese Anfrage bearbeiten wir erst, nachdem Sie Ihre E-Mail-Adresse bestätigt haben.

Für die Vorschau auf Ihrer persönlichen Entwurfsseite ruft unser Server Ihren Entwurf ab. Damit diese Vorschau nicht zum massenhaften Abrufen dient, begrenzen wir die Abrufe je Internetanschluss. Dafür speichern wir einen Hashwert Ihrer IP-Adresse (nicht die Adresse selbst), der mit einem täglich wechselnden Schlüssel gebildet wird, mit den Zeitpunkten der Abrufe. Nach einer Stunde werden diese Einträge bei einem der nächsten Abrufe gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

9. Kostenloser Website-Check

Mit unserem Website-Check können Sie eine Domain automatisiert prüfen lassen. Dafür verarbeiten wir die eingegebene Domain und rufen die öffentlich zugänglichen Informationen dazu ab: die Startseite der Website samt der dabei übermittelten Server-Angaben, die Dateien robots.txt, Sitemap und Favicon, das SSL-Zertifikat sowie öffentliche DNS-Einträge der Domain (etwa MX, SPF, DKIM und DMARC). Das Ergebnis speichern wir zusammen mit der Domain 30 Tage lang, damit Sie es erneut aufrufen können; erreichbar ist es nur über einen Link mit zufälligem Zugangsschlüssel. Name oder E-Mail-Adresse brauchen wir für den Check nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz vor Missbrauch – etwa dem massenhaften automatisierten Prüfen fremder Server – begrenzen wir die Zahl der Prüfungen je Browsersitzung und je Internetanschluss. Dafür speichern wir einen Hashwert Ihrer IP-Adresse (nicht die Adresse selbst) mit dem Zeitpunkt der Prüfung für höchstens eine Stunde. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Kostenloser ausführlicher Bericht per E-Mail: Fordern Sie den ausführlichen Bericht an, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die geprüfte Domain, den Zeitpunkt der Anforderung und – wenn Sie den Check auf einer unserer Kampagnenseiten gestartet haben – den Namen dieser Seite. Sie erhalten eine E-Mail mit einem persönlichen Link; der Klick darauf bestätigt Ihre E-Mail-Adresse (Double-Opt-in) und öffnet den Bericht. Für den Versand übergeben wir eine Vorgangsnummer, Ihren Namen, Ihre E-Mail-Adresse und den Link an den in Abschnitt 10 beschriebenen Versandweg. Erst nach Ihrer Bestätigung informieren wir unser Team über die Anforderung. Der Link lässt sich sieben Tage lang bestätigen; bestätigte Berichte bleiben 90 Tage abrufbar. Unbestätigte Anforderungen löschen wir automatisch, sobald der Link seit sieben Tagen abgelaufen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kostenloser Entwurf einer neuen Website: Kreuzen Sie bei der Anforderung des Berichts das nicht vorausgewählte Kästchen für einen Entwurf an oder fordern Sie ihn später im Bericht mit einem Klick an, legen wir nach der Bestätigung Ihrer E-Mail-Adresse eine Website-Anfrage an. Sie enthält Ihren Namen, Ihre E-Mail-Adresse, die Adresse der geprüften Website und die wichtigsten Befunde des Checks; diese Anfrage verarbeiten wir wie eine Anfrage über unser Formular (Abschnitt 7) und erstellen daraus Ihren Entwurf, wie in Abschnitt 8 beschrieben. Ihre E-Mail-Adresse gilt dabei durch den Klick auf den Link zum Bericht als bestätigt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Freiwillige Einwilligung in Werbung per E-Mail: Mit der Anforderung des Berichts willigen Sie nicht in Werbung ein. Erst im freigeschalteten Bericht – also nachdem Sie Ihre E-Mail-Adresse über den Link bestätigt haben – fragen wir Sie gesondert, ob wir Ihnen per E-Mail Informationen und Angebote rund um Ihre Website schicken dürfen, zum Beispiel einen Entwurf für eine neue Website auf Basis Ihrer Domain. Nur wenn Sie dort auf „Ja, einverstanden“ klicken, nutzen wir Ihre E-Mail-Adresse dafür; der Bericht bleibt davon unabhängig kostenlos und vollständig abrufbar. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Zum Nachweis speichern wir den Wortlaut der Einwilligung sowie die Zeitpunkte von Bestätigung, Einwilligung und gegebenenfalls Widerruf und informieren unser Team über jede Änderung. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – im Bericht mit einem Klick oder per E-Mail an hello@cortexion.ai; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Ohne diese Einwilligung nutzen wir Ihre Angaben ausschließlich für den Bericht und – wenn Sie ihn anfordern – für Ihren Entwurf.

9a. Kostenlose Werkzeuge

Unter Werkzeuge bieten wir kostenlose Rechner, Generatoren und Prüfwerkzeuge an. Sie nutzen sie ohne Anmeldung.

Rechner und Generatoren: Alle Rechner und Generatoren arbeiten ausschließlich in Ihrem Browser. Ihre Eingaben werden weder an unseren Server übertragen noch gespeichert, auch nicht im lokalen Speicher Ihres Browsers. Das gilt auch für Rechnungen und Angebote, die Sie mit „Rechnung schreiben“ erstellen: Vorschau und Druck entstehen auf Ihrem Gerät.

Prüfwerkzeuge für Websites und Domains: Diese Werkzeuge – etwa die Prüfung von SSL-Zertifikat, Geschwindigkeit, Bildern, Security-Headern oder Weiterleitungen – arbeiten wie unser Website-Check (Abschnitt 9) auf unserem Server. Dorthin senden sie nur, was Sie eintragen: die Domain oder Adresse der Website, beim Check von SPF, DKIM und DMARC zusätzlich einen DKIM-Selektor, falls Sie einen angeben, und beim Weiterleitungs-Check die Liste Ihrer Adressen (höchstens 20 je Prüfung). Name oder E-Mail-Adresse brauchen wir dafür nicht.

Unser Server ruft dann die öffentlich zugänglichen Inhalte ab, die das jeweilige Werkzeug braucht – etwa die Startseite samt der dabei übermittelten Server-Angaben, das SSL-Zertifikat, die Dateien robots.txt und Sitemap sowie Stylesheets und Bilder der Website –, und fragt öffentliche DNS-Einträge der Domain ab. Leitet die Website auf andere Adressen weiter, nennt ihre robots.txt eine Sitemap auf einem anderen Server oder bindet sie Bilder von anderen Servern ein, ruft unser Server auch diese ab. Alle diese Server sehen dabei die Adresse unseres Servers, nicht Ihre IP-Adresse; Angaben zu Ihnen oder Ihrem Browser geben wir nicht weiter. Bei den DNS-Abfragen erhalten der DNS-Dienst unseres Servers und die Nameserver der Domain den abgefragten Namen, nicht aber Ihre IP-Adresse.

Ein vollständiges Ergebnis bewahren wir zehn Minuten lang in unserer Datenbank auf. Wer in dieser Zeit dieselbe Domain – beim Weiterleitungs-Check dieselbe Eingabe – mit demselben Werkzeug prüft, erhält dieses Ergebnis. Gespeichert werden nur die Domain, das Werkzeug, das Ergebnis und der Zeitpunkt der Prüfung, beim Check von SPF, DKIM und DMARC auch ein angegebener DKIM-Selektor und beim Weiterleitungs-Check die eingegebenen Adressen, auch solche, die sich nicht prüfen ließen. Einen Bezug zu Ihnen enthalten diese Einträge nicht. Ältere Ergebnisse nutzen wir nicht mehr; gelöscht werden sie automatisch bei einer der nächsten Prüfungen. Rechtsgrundlage ist wie beim Website-Check Art. 6 Abs. 1 lit. b DSGVO.

Domain-Finder: Der Domain-Finder sendet Ihren Firmen- oder Wunschnamen und, falls Sie sie angeben, Branche oder Tätigkeit und Ort an unseren Server. Er bildet daraus bis zu zwölf Domainnamen mit .de, .com oder .ch und fragt bei den Registrierungsstellen nach, ob sie vergeben sind: für .de bei der DENIC eG, für .com bei Verisign, Inc., für .ch bei SWITCH in der Schweiz. Für die Schweiz hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Die Registrierungsstellen erhalten nur die einzelnen Domainnamen, also Ihre Angaben in der Schreibweise einer Domain. Sie sehen dabei die Adresse unseres Servers, nicht Ihre IP-Adresse. Ihre Eingabe selbst speichern wir nicht. Zehn Minuten lang bewahren wir nur die gebildeten Domainnamen mit ihrem Ergebnis und dem Zeitpunkt der Abfrage auf, ohne Bezug zu Ihnen. Danach nutzen wir sie nicht mehr; gelöscht werden sie automatisch bei einer der nächsten Abfragen.

Schutz vor Missbrauch: Damit die Prüfwerkzeuge nicht zum massenhaften Abrufen fremder Server dienen, begrenzen wir die Zahl der Prüfungen je Browsersitzung, je Internetanschluss, für alle Besucher zusammen und je Domain, die wir dabei abrufen. Dafür speichern wir einen Hashwert Ihrer IP-Adresse (nicht die Adresse selbst) und einen Hashwert jeder dieser Domains, jeweils mit dem Zeitpunkt der Prüfung. Diese Einträge zählen eine Stunde lang; danach werden sie bei einer der nächsten Prüfungen gelöscht. Der Domain-Finder begrenzt die Abfragen nur je Browsersitzung und für alle Besucher zusammen. Er speichert dafür nur Zeitpunkte, keine IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Cookies, lokaler Speicher und Protokolle: Die Werkzeuge selbst setzen keine eigenen Cookies und legen weder im lokalen Speicher noch im Sitzungsspeicher Ihres Browsers etwas ab; ausgenommen ist der Anfrage-Kasten auf den Werkzeugseiten, denn er ist unser Anfrageformular und legt im Sitzungsspeicher die Einträge cx-inquiry und – bei einer Adresse mit Werbeparametern – lp-campaign an (siehe Abschnitte 4, 7 und 8). Jede Werkzeugseite nutzt das technisch notwendige Sitzungs-Cookie aus Abschnitt 4. Darüber ordnet unser Server Ihrer Browsersitzung den CSRF-Schutz zu und bei den Prüfwerkzeugen die Zeitpunkte Ihrer Prüfungen für die Begrenzung. In unsere Fehlerprotokolle schreiben die Werkzeuge Ihre Eingaben nicht; für den Aufruf der Seiten gelten die Angaben zu den Server-Logfiles in Abschnitt 3. Für das Anfrageformular am Ende jeder Werkzeugseite gelten die Abschnitte 7 und 8.

10. E-Mail-Versand

Für den Versand von Bestätigungs- und Benachrichtigungs-E-Mails setzen wir einen technischen E-Mail-Versanddienst ein. Dieser verarbeitet die Empfängeradresse und den Inhalt der jeweiligen Nachricht ausschließlich zum Zweck der Zustellung, in unserem Auftrag und auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Eine Nutzung der Daten für eigene Zwecke des Dienstleisters findet nicht statt.

11. Anmeldung für einen Cortexion-Arbeitsbereich

Möchten Sie Ihren Entwurf überarbeiten oder veröffentlichen, benötigen Sie einen Arbeitsbereich. Bei der Anmeldung verarbeiten wir Ihren Namen, Ihre geschäftliche E-Mail-Adresse, Ihren Unternehmensnamen sowie – sofern Sie diese angeben – Ihre Telefonnummer und die Größe Ihres Teams. Zeitpunkt der Anmeldung, IP-Adresse und Browserkennung protokollieren wir zur Abwehr von missbräuchlichen Eingaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und des Nutzungsvertrags) sowie unser berechtigtes Interesse an sicherem Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Die Anmeldedaten speichern wir für die Dauer der Kontonutzung; kommt kein Arbeitsbereich zustande, löschen wir sie spätestens nach sechs Monaten, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

12. Nutzung der Cortexion-Plattform und KI-Modelle

Cortexion ist eine in Deutschland gehostete KI-Plattform für Unternehmen. Wenn Sie die Plattform nutzen, verarbeiten wir die Inhalte, die Sie oder Ihre Anwender eingeben oder hochladen („Vertragsdaten“), ausschließlich zur Erbringung des Dienstes – auf Grundlage des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise, bei Unternehmenskunden, als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des mit dem Kunden geschlossenen Auftragsverarbeitungsvertrags.

Dabei gelten folgende Grundsätze:

  • Übermittlung an KI-Modelle: Ihre Eingaben werden zur Beantwortung an die von Ihnen beziehungsweise Ihrem Unternehmen ausgewählten Sprachmodelle übermittelt. Als Modellanbieter kommen insbesondere Anbieter wie Anthropic, OpenAI, Google oder Microsoft (Azure OpenAI) sowie in der EU gehostete Modelle in Betracht – welche Modelle verfügbar sind und wo sie betrieben werden, legt die jeweilige Konfiguration fest.
  • Kein Training: Wir verwenden Ihre Inhalte nicht zum Training von KI-Modellen und setzen Modellanbieter nur auf Grundlage vertraglicher Vereinbarungen ein, die auch diesen eine solche Verwendung untersagen (Zero-Retention-Konfiguration, soweit verfügbar).
  • Auftragsverarbeitung: Mit allen eingesetzten Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; eine aktuelle Liste stellen wir unseren Kunden auf Anfrage oder im Rahmen des Auftragsverarbeitungsvertrags bereit.
  • Telemetrie: Zur Sicherstellung und Verbesserung des Betriebs werten wir ausschließlich anonymisierte beziehungsweise aggregierte Nutzungsdaten aus, die keine Vertragsdaten oder personenbezogenen Daten enthalten.

13. Integrationen und angebundene Drittdienste

Unsere Kunden können über die Plattform eigene Systeme anbinden – etwa E-Mail-Postfächer, Kalender, Ticketsysteme, Projektmanagement-, Buchhaltungs- oder Analyse-Werkzeuge (z. B. Microsoft 365, Jira, MOCO, easybill oder Matomo). Die Anbindung erfolgt ausschließlich auf Veranlassung des jeweiligen Kunden und mit dessen Zugangsdaten; Daten fließen nur in dem Umfang, den der Kunde durch die Anbindung und die erteilten Berechtigungen festlegt. Für die Verarbeitung in den angebundenen Drittdiensten gelten die Datenschutzbestimmungen des jeweiligen Anbieters; verantwortlich für die Auswahl und Anbindung ist der Kunde. Wir übermitteln keine Daten eigenmächtig an Drittdienste.

14. Zahlungsabwicklung

Bei kostenpflichtigen Paketen verarbeiten wir die für die Abrechnung erforderlichen Daten (Vertrags- und Rechnungsdaten) auf Grundlage von Art. 6 Abs. 1 lit. b und lit. c DSGVO. Rechnungsrelevante Unterlagen bewahren wir entsprechend den handels- und steuerrechtlichen Aufbewahrungsfristen auf.

Für die Buchung eines Websitebuilder-Tarifs setzen wir als Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ein. Wenn Sie eine Stufe auswählen und bestätigt haben, dass Sie als Unternehmer oder für eine juristische Person des öffentlichen Rechts buchen, erzeugt unser Server eine Bezahl-Sitzung bei Stripe und leitet Sie auf die Bezahlseite von Stripe weiter. Mit der Sitzung übergeben wir Stufe, Zahlweise, Nutzeranzahl und den Vermerk, dass diese Bestätigung vorliegt; buchen Sie von der Seite Ihres Entwurfs aus, außerdem die Projektkennung, die Adresse des Entwurfs und die E-Mail-Adresse, an die er geschickt wurde. Alle Zahlungsdaten – insbesondere Kartendaten – geben Sie ausschließlich dort ein; wir erhalten und speichern diese Daten nicht. Stripe verarbeitet dabei die von Ihnen eingegebenen Angaben (z. B. Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsmittel) sowie technische Daten wie IP-Adresse und Geräteinformationen, auch zur Betrugsvermeidung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (sichere Abwicklung). Eine Übermittlung in Drittländer stützt Stripe auf die Standardvertragsklauseln der EU-Kommission. Einzelheiten finden Sie in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

Damit die Bezahlung nicht missbräuchlich in schneller Folge geöffnet wird, begrenzen wir die Zahl der Versuche je Browsersitzung und je Internetanschluss. Dafür speichern wir die Zeitpunkte der Versuche in Ihrer Sitzung und auf unserem Server zusammen mit einem Hashwert Ihrer IP-Adresse (nicht die Adresse selbst), der mit einem täglich wechselnden Schlüssel gebildet wird. Nach zehn Minuten werden diese Einträge bei einem der nächsten Versuche gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Abwicklung (Art. 6 Abs. 1 lit. f DSGVO).

15. Termin- und Videokonferenz-Tools

Für Beratungsgespräche und Rückfragen zu Ihrem Entwurf nutzen wir gegebenenfalls Termin- und Videokonferenz-Dienste (etwa Microsoft Teams). Dabei werden Ihr Name, Ihre E-Mail-Adresse, der Termin sowie – während des Gesprächs – Audio- und Videodaten verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Aufzeichnungen finden nur statt, wenn alle Teilnehmenden vorab zugestimmt haben. Für die Verarbeitung durch den jeweiligen Konferenzdienst gelten ergänzend dessen Datenschutzhinweise.

16. Eingebundene Inhalte und externe Links

Diese Website lädt Schriften, Bilder und Videos ausschließlich von unseren eigenen Servern; beim bloßen Besuch unserer Seiten fließen daher grundsätzlich keine Daten an Drittanbieter. Die einzige Ausnahme ist der Messpunkt für die Erfolgsmessung unserer Anzeigen (siehe Abschnitt 6) – er wird ausschließlich nach Ihrer Einwilligung geladen. Sollten wir künftig weitere Inhalte von Drittanbietern einbinden (etwa Karten-, Video- oder andere Mediendienste), geschieht dies datenschutzfreundlich und, soweit gesetzlich erforderlich, ebenfalls erst nach Ihrer Einwilligung. Unsere Seiten enthalten Links zu externen Websites – folgen Sie einem solchen Link, gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

17. Datenübermittlung in Drittländer

Wir verarbeiten Daten vorrangig in Deutschland und der Europäischen Union. Eine Übermittlung in Drittländer – insbesondere die USA – findet nur statt, soweit dies für die jeweilige Leistung erforderlich ist, etwa wenn Sie oder Ihr Unternehmen ein KI-Modell eines US-Anbieters auswählen oder ein entsprechender Drittdienst angebunden wird. In diesen Fällen stellen wir ein angemessenes Datenschutzniveau sicher: durch einen Angemessenheitsbeschluss der EU-Kommission (etwa das EU-U.S. Data Privacy Framework bei zertifizierten Anbietern) oder durch EU-Standardvertragsklauseln nach Art. 46 DSGVO, ergänzt um zusätzliche Schutzmaßnahmen, wo erforderlich.

18. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Im Überblick:

  • Server-Logfiles: in regelmäßigen Abständen, sobald sie nicht mehr erforderlich sind;
  • Sitzungs-Cookie: mit dem Ende Ihrer Browsersitzung;
  • Ihre Entscheidungen über die Erfolgsmessung unserer Anzeigen und über die Nutzungsanalyse sowie der Eintrag cx-track-off: bis Sie sie in Ihrem Browser ändern oder die Websitedaten löschen;
  • Einträge cx-measured-… der Erfolgsmessung unserer Anzeigen: bis zu einem Widerruf oder bis Sie die Websitedaten in Ihrem Browser löschen;
  • Speichereinträge des Messpunkts von OpenAI in Ihrem Browser: __obref ein Jahr, __oaiq_consent und __oppref 30 Tage, __oaiq_domain_probe 60 Sekunden, oaiq_consent bis zum Widerruf oder bis Sie die Websitedaten löschen, oaiq_cs:<Pixel-ID> bis zum Schließen des Browser-Tabs, mit einem Widerruf alle sofort; __cf_bm auf den Domains von OpenAI 30 Minuten, _cfuvid bis zum Ende der Browsersitzung;
  • Zwischenstand des Anfrageformulars (cx-inquiry): ab Ihrer ersten Eingabe oder Auswahl bis zum erfolgreichen Absenden, sonst bis zum Schließen des Browser-Tabs; Werbeparameter (lp-campaign, nur mit Einwilligung in die Nutzungsanalyse): bis zum Schließen des Browser-Tabs, nach einem Widerruf sofort;
  • Besucherstatistik: einzelne Ereignisse 100 Tage, Tageswerte 730 Tage, Conversions 400 Tage; der Schlüssel für den täglichen Hashwert wird am Folgetag gelöscht;
  • Messdaten der Nutzungsanalyse: 400 Tage nach ihrer Erfassung, Angaben zu Sitzung und Besucherkennung 400 Tage nach der letzten Aktivität, Verknüpfungen mit Anfragen 400 Tage nach der Anfrage; nach einem Widerruf sofort;
  • Besucherkennung der Nutzungsanalyse in Ihrem Browser: wir verwenden sie bis 90 Tage nach Ihrem letzten Besuch mit Nutzungsanalyse; Sitzungskennung: bis zum Schließen des Browser-Tabs, nach 30 Minuten ohne Aktivität beginnt eine neue Sitzung;
  • Herkunft und technische Angaben des Besuchs für die Nutzungsanalyse in Ihrem Browser (cx-ctx-v1): bis zum Schließen des Browser-Tabs;
  • Nachweis einer Einwilligung in die Nutzungsanalyse und ihres Widerrufs: 1.100 Tage nach dem jeweiligen Eintrag, nicht jedoch, solange wir zu dieser Besucherkennung noch Angaben gespeichert haben;
  • Hashwerte zur Missbrauchsbegrenzung der Nutzungsanalyse: nach zwei Stunden;
  • Formular- und Kontaktanfragen: in der Regel nach Abschluss des Vorgangs;
  • Anfragen ohne Bestätigung der E-Mail-Adresse: automatisch, sobald der Bestätigungslink seit sieben Tagen abgelaufen ist, samt hochgeladener Dateien;
  • Website-Entwurfsanfragen samt hochgeladener Dateien ohne Vertragsschluss: in regelmäßigen Abständen;
  • Ergebnisse des Website-Checks: nach 30 Tagen, angeforderte Berichte nach 90 Tagen; Hashwerte zur Missbrauchsbegrenzung nach einer Stunde;
  • Ergebnisse der Prüfwerkzeuge und des Domain-Finders auf unserem Server: automatisch bei einer der nächsten Prüfungen beziehungsweise Abfragen, sobald sie älter als zehn Minuten sind;
  • Hashwerte zur Missbrauchsbegrenzung der Prüfwerkzeuge: automatisch bei einer der nächsten Prüfungen, sobald sie älter als eine Stunde sind;
  • Hashwerte zur Missbrauchsbegrenzung der Entwurfsvorschau und der Bezahlung: automatisch bei einem der nächsten Abrufe beziehungsweise Versuche, sobald sie älter als eine Stunde beziehungsweise zehn Minuten sind;
  • Angaben zu einer Werbe-Einwilligung: bis zu Ihrem Widerruf und darüber hinaus nur, solange wir die Einwilligung nachweisen müssen;
  • Kontodaten: für die Dauer der Kontonutzung;
  • Vertrags- und Rechnungsdaten: nach Ablauf der gesetzlichen Aufbewahrungsfristen.

Nach Wegfall des jeweiligen Zwecks beziehungsweise nach Ablauf gesetzlicher Aufbewahrungsfristen werden die Daten in regelmäßigen Abständen gelöscht oder anonymisiert.

19. Datensicherheit

Alle Seiten und Formulare dieser Website werden über TLS verschlüsselt übertragen. Darüber hinaus treffen wir technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Missbrauch und unberechtigten Zugriff zu schützen – unter anderem Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, getrennte Systemumgebungen, Protokollierung sicherheitsrelevanter Ereignisse und regelmäßige Sicherungen. Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

20. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung Ihnen gegenüber im Sinne von Art. 22 DSGVO findet grundsätzlich weder auf dieser Website noch in der Plattform statt. Ergebnisse der KI-Modelle sind Arbeitshilfen; Entscheidungen mit Wirkung für Betroffene treffen grundsätzlich Menschen. Sollten wir in Zukunft in Einzelfällen automatisierte Entscheidungen im Sinne von Art. 22 DSGVO einsetzen, informieren wir Sie hierüber gesondert im Rahmen der gesetzlichen Vorgaben.

21. Ihre Rechte

Als betroffene Person haben Sie gegenüber uns folgende Rechte:

  • Recht auf Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
  • Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
  • Recht auf Löschung (Art. 17 DSGVO),
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
  • Recht auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an datenschutz@cortexion.ai.

22. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

23. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Datum des Stands finden Sie am Seitenanfang.