Datenschutzerklärung

Wer verarbeitet

Verantwortlicher

Christopher Nonne — Einzelunternehmen, Schloßgrund 26, 96472 Rödental, Deutschland.

Kontakt

infotion.cominfotion.com, Telefon +49 (0) 20 80 637+49 (0) 20 80 637. Vollständige Angaben im Impressum.

Datenschutzkontakt

infotion.cominfotion.com. Ein Datenschutzbeauftragter ist nicht benannt; eine gesetzliche Pflicht zur Benennung besteht nicht.

Geltungsbereich

Die Website unter kiintegration.com, der Crawler KiDienstleisterBot (was er tut) und die Formulare dieser Seite.

Was hier nicht passiert

• Keine Cookies außer der Anmeldung.Die Seite setzt keine fremden Cookies und eigene nur rund um die Anmeldung: die Sitzung, wenn Sie sich imKonto anmelden, und beim Anmelden aus der Buchung für eine Stunde den Rückweg dorthin. Auch die Reichweitenmessung legt nichts in Ihrem Browser ab. Einwilligen müssen Sie nur in externe Inhalte, derzeit einen: dieKarte auf Profilseiten. Danach fragt ein kleiner Hinweis beim ersten Besuch, der die Seite nicht sperrt und nach Ihrer Entscheidung nicht wiederkommt: „Alle akzeptieren" schließt die Karte ein, „Nur notwendige" lässt sie aus. Dieselbe Frage steht an der Kartenvorschau. Was der Browser speichert — auch diese Entscheidung —, steht in Abschnitt 10.
• Kein websiteübergreifendes Tracking, kein Profiling. Keine Werbenetzwerke, keine Pixel, keine automatisierte Entscheidungsfindung nach Art. 22 DSGVO. Die Reichweitenmessung zählt Aufrufe dieser Seite und erkennt Sie weder wieder noch auf einer anderen Website.
• Kein Verkauf, keine Vermietung von Daten, kein Adresshandel, kein Training von Sprachmodellen mit den erhobenen Registerdaten.
• Keine Übermittlung in Drittländer durch uns außer beim Spam-Schutz. Offen benannt sind die Stellen, an denen das nicht gilt: die Karte auf Profilseiten, die erst nach Ihrem Klick Kacheln von OpenFreeMap holt (Sitz in Ungarn, Auslieferung möglicherweise über Cloudflare) — und Cloudflare Turnstile an den Formularen. Dort übermitteln wir Ihre IP-Adresse zur Prüfung an Cloudflare in den USA, von unserem Server aus (Abschnitt 15). Unsere Mails verschickt Amazon SES; der Anbieter sitzt in Luxemburg, gehört aber zu einem Konzern mit Sitz in den USA (Abschnitt 13).

Was verarbeitet wird, wozu und wie lange

Ein Verzeichnis in Kurzform. Jede Zeile ist ein Verfahren, das in diesem Projekt tatsächlich läuft oder mit dem Absenden eines Formulars ausgelöst wird.

Die Formulare senden an unseren eigenen Server und schreiben in unsere eigene Datenbank; die Tabelle gilt wie beschrieben. Bis zum 15.09.2026 stand hier, sie endeten im Browser und sendeten nichts — das war seit einer technischen Umstellung falsch und ist hiermit berichtigt. Die Angabe einer E-Mail-Adresse ist überall freiwillig; ohne sie können wir nur nicht antworten und Ihnen keine Eingangsbestätigung schicken.

Server und Protokolldateien

Die Seiten liegen als statische Dateien auf einem eigenen virtuellen Server bei der Contabo GmbH in München und werden von einem Nginx ausgeliefert. Jeder Abruf erzeugt dort einen Logeintrag mit IP-Adresse, Zeitpunkt, angeforderter URL, Referrer, User-Agent, Status und Datenmenge. Diese Einträge sind für den Betrieb nötig — ohne sie ist weder ein Fehler nachvollziehbar noch ein Angriff abwehrbar.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logs werden nach sieben Tagen gelöscht und nicht mit anderen Daten zusammengeführt. Zu Reichweiten- oder Werbezwecken werden sie nicht ausgewertet; die Zählung der Aufrufe läuft getrennt davon und steht in Abschnitt 5.

Wie Aufrufe gezählt werden — ohne Cookie, ohne fremden Host

Wir zählen, welche Seiten aufgerufen werden, mit Plausible Analytics auf einem eigenen Server unter plausible.katalysat.com. Es ist keine Zählung durch Google, Meta oder ein Werbenetzwerk, und die Zahlen verlassen unseren Betrieb nicht.

Ihr Browser spricht dabei ausschließlich mit kiintegration.com. Sowohl das Messskript als auch die Meldung eines Aufrufs laufen über/api/messung/, also über diese Domain; unser Server reicht beides serverseitig weiter. Es wird deshalb keine Verbindung zu einem Host aufgebaut, den Sie nicht selbst aufgerufen haben.

• Kein Cookie. Es wird nichts auf Ihrem Gerät abgelegt — weder ein Cookie noch ein Eintrag im Browserspeicher. Gelesen wird genau ein Wert, und nur, wenn Sie ihn selbst gesetzt haben: plausible_ignore im localStorage schaltet die Zählung für Ihren Browser ab (siehe unten). Weil nichts gespeichert wird und der einzige gelesene Wert Ihre eigene Abschaltung ist, halten wir § 25 TDDDGfür nicht einschlägig; der Einwilligungshinweis fragt deshalb nicht nach der Messung.
• Keine gespeicherte IP-Adresse. Aus IP, User-Agent und einem täglich wechselnden Zufallswert entsteht ein Hash; gespeichert wird nur dieser. Nach 24 Stunden ist der Zufallswert weg und der Hash nicht mehr zuzuordnen.
• Keine Wiedererkennung über Tage oder Websites hinweg. Es gibt keine Besucherkennung, die länger lebt als ein Tag, und keine gemeinsame Auswertung mit anderen Seiten.
• Keine Übermittlung in Drittländer. Der Messserver steht bei der Contabo GmbH in München, die Auswertung läuft auf demselben Server. Weder Daten noch Zugriff verlassen die EU.

Erfasst werden: aufgerufene Seite, verweisende Seite, Gerätetyp, Browser, Betriebssystem und Land. Dazu einzelne Ereignisse — welche Schaltflächen benutzt werden, etwa „Potenzialcheck gestartet" oder „Eintrag beanspruchen". Diese Ereignisse tragen nur Kategorien, nie Inhalte: Eine eingegebene Domain, eine E-Mail-Adresse oder eine Postleitzahl sortiert das Skript aus, bevor es etwas meldet.

Zahlen für den Betrieb. Ein Betrieb, der sein Profil über ein Konto verwaltet, sieht dort, wie oft sein Profil in den letzten 30 Tagen aufgerufen wurde, von wie vielen Besuchern und wie oft jemand von dort auf seine Website oder auf „Anfrage stellen“ geklickt hat, dazu dieselben Zahlen je Woche für zwölf Wochen. Unser Server fragt diese Summen bei Plausible ab und hält sie eine Stunde im Arbeitsspeicher; sie enthalten keine Person, keine Firma und keinen Suchbegriff, nur Zahlen je Seite und Woche.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Wir haben ein berechtigtes Interesse daran zu wissen, welche Teile des Registers gebraucht werden. Ihr Interesse überwiegt hier nicht, weil keine Daten anfallen, die Sie als Person betreffen. Sie können der Zählung trotzdem nach Art. 21 DSGVO widersprechen —formlos über das Kontaktformular.

Sofort und ohne Nachricht an uns geht es auch: Setzen Sie in der Konsole Ihres Browsers localStorage.plausible_ignore = "true". Das Skript prüft diesen Wert vor jeder Meldung und zählt Sie dann nicht mehr. Ebenso wirksam ist jeder Inhaltsblocker. Auf die „Do Not Track"-Einstellung des Browsers verlassen Sie sich besser nicht — die wertet dieses Skript nicht aus, und das soll hier stehen und nicht verschwiegen werden.

Die Schriften kommen von diesem Server

Inter und Inter Tight liegen als Dateien unter/fonts/ auf demselben Server wie die Seite. Ihr Browser holt sie dort und sonst nirgends. An Google geht dabei nichts — keine IP-Adresse, kein Abruf.

Bis zum 22.09.2026 stand hier ein offener Punkt. Ein Dialog unten rechts erlaubte es, andere Schriftfamilien zu wählen, und die kamen vonfonts.googleapis.com. Nach der Entscheidung des LG München I (Az. 3 O 17493/20) ist die dynamische Einbindung ohne Einwilligung angreifbar. Wir haben den Dialog entfernt, statt eine Einwilligung dafür einzuholen: Eine Funktion, die eine Einwilligung kostet und kaum jemand braucht, ist den Preis nicht wert.

Die Lizenz der Schriften liegt neben den Dateien:Inter, SIL Open Font License.

Die Symbole der Betriebe kommen von uns, nicht von Dritten

Profile, Listen, Eintrag beanspruchen und der Potenzialcheck zeigen neben einem Betrieb sein Favicon, das kleine Symbol seiner Website. Wir holen es serverseitig von der Website des Betriebs selbst, mit eigenem User-Agent und unter Beachtung ihrer robots.txt, legen es auf diesem Server ab und liefern es von unserer Domain aus. Ihr Browser fragt dabei keinen Dritten — weder den Betrieb noch einen Icon-Dienst.

Liegt für einen Betrieb noch kein Symbol vor, oder tippen Sie eine Domain ein, die nicht im Register steht, holt unser Server das Symbol in diesem Moment von der Website hinter der Domain, nach denselben Regeln. Die Website sieht dabei unseren Server, nicht Sie: Ihre IP-Adresse geht an niemanden weiter. Das Ergebnis halten wir sieben Tage vor, „kein Symbol“ einen Tag — abgelegt unter einem Hash der Domain, ohne IP-Adresse und ohne Bezug zu Ihnen. Gegen Missbrauch zählt der Server die Abrufe je IP-Adresse eine Stunde lang im Arbeitsspeicher; gespeichert wird sie dafür nicht. Findet sich kein Symbol, zeigen wir Initialen.

Auf der Startseite und im Potenzialcheck liest unser Server auf dieselbe Weise Startseite und Impressum dieser Website, um Firmenname, Ort, Branche und Größe vorzuschlagen. Vertretungsberechtigte und Telefonnummern aus dem Impressum zeigen wir nicht an, von der E-Mail-Adresse nur die Domain und ein Rollenpostfach wie info@ als Vorschlag für das Mailfeld im Potenzialcheck. Das Ergebnis bleibt sechs Stunden im Arbeitsspeicher, damit derselbe Abruf nicht zweimal hinausgeht.

Bis zum 28.09.2026 lud Ihr Browser Symbole, die hier fehlten, bei DuckDuckGo und Google nach und übertrug dabei Ihre IP-Adresse und die Domain; das gibt es nicht mehr.

Für Betriebe. Das Symbol stammt von Ihrer Website. Wir verändern es nicht, wir verkleinern es höchstens auf 128 Pixel. Jede Woche holen wir es neu, ein Wechsel auf Ihrer Website kommt so hier an. Mit einem Widerspruch löschen wir es zusammen mit dem Eintrag, und auch auf Zuruf holen wir es danach nicht mehr.

Die Karte lädt erst, wenn Sie es sagen — und fragt nur einmal

Profilseiten unter /dienstleister/ zeigen den Standort eines Betriebs. Beim Aufruf steht die Anschrift als Text; an der Stelle der Karte liegt eineVorschau ohne Kartendaten — ein Gitter aus Breiten- und Längengraden um die gespeicherte Koordinate, das der Browser selbst zeichnet. Bis Sie darauf klicken oder im Hinweis beim ersten Besuch „Alle akzeptieren" wählen, holt die Seite nichts von Dritten.

Nach Ihrer Zustimmung lädt Ihr Browser die Kartensoftware von unserem Server und die Kartenkacheln von OpenFreeMap (tiles.openfreemap.org), betrieben von der Hyperknot Software Kft., Ungarn. Dabei erhält dieser Dienst Ihre IP-Adresse, den gewählten Kartenausschnitt und technische Angaben Ihres Browsers. Nach eigener Erklärung protokolliert OpenFreeMap IP-Adressen nicht und setzt keine Cookies; die Auslieferung kann über Cloudflare laufen, dann gelten dort dessen Bedingungen. Rechtsgrundlage ist Ihre Einwilligung durch den Klick auf die Vorschau oder durch „Alle akzeptieren" im Hinweis beim ersten Besuch (Art. 6 Abs. 1 lit. a DSGVO). Der Satz neben der Vorschau und der Hinweis sagen vorher, was die Zustimmung auslöst.

Einmal genügt. Ihre Zustimmung merkt sich der Browser imlocalStorage (Schlüssel ku-consent, Abschnitt 10) für 182 Tage. Jedes weitere Profil mit Koordinaten zeigt die Karte dann, sobald der Abschnitt ins Bild scrollt — nicht schon beim Aufruf der Seite. Das Speichern der Entscheidung ist ein Zugriff auf Ihr Endgerät nach § 25 Abs. 1 TDDDG und Teil dessen, worin Sie einwilligen; ein Cookie ist es nicht, und es erreicht uns nicht.

Widerruf jederzeit, so leicht wie die Erteilung: über den Link„Einwilligungen" in der Fußzeile jeder Seite oder den Knopf hierEinwilligungen öffnen — ohne Skript, indem Sie die Website-Daten dieser Seite im Browser löschen. Nach dem Widerruf verschwindet die Karte, die Vorschau kommt zurück, und kein Profil lädt mehr Kacheln.

Die Koordinaten stammen nicht von Ihnen: Wir haben die Anschrift aus dem Impressum einmal auf unserem Server über Nominatim (OpenStreetMap) aufgelöst und gespeichert. Dieser Abruf berührt Ihren Browser nicht. Wer keine Karte will, lässt die Vorschau aus; die Links darunter — „Auf OpenStreetMap öffnen" und „Google-Eintrag ansehen"bzw. „Bei Google Maps suchen" — führen auf fremde Websites und sind als solche gekennzeichnet. Es sind gewöhnliche Links, kein eingebetteter Inhalt: Beim Aufruf der Profilseite geht nichts zu OpenStreetMap oder Google, erst Ihr Klick. Den Google-Eintrag verlinken wir nur, wenn der Betrieb ihn selbst auf seiner Website verlinkt hat; sonst steht eine Suche mit Name und Anschrift da, die kein Profil behauptet.

Was Sie im Kopf der Startseite eintippen, speichern wir

Auf der Startseite stehen zwei Felder: eines für Unternehmen, die ihr Automatisierungspotenzial sehen wollen, eines für Dienstleister, die ihren Eintrag suchen. Was Sie dort als Domain eintippen, speichern wir auch ohne abzuschicken: nach einer Pause von knapp zwei Sekunden, einmal je Domain und Seitenaufruf. Dazu kommt, welches der beiden Felder es war, ob Sie abgeschickt haben und wie oft dieselbe Domain eingegeben wurde — mehr nicht.

Nicht gespeichert werden: Ihre IP-Adresse, Ihr Browser, eine Sitzungskennung, der Zeitpunkt einzelner Tastenanschläge und alles außer dem Hostnamen — kein Pfad, kein „www.". Halbe Eingaben und Eingaben, die kein Hostname sind, verlassen Ihren Browser nicht. Die Zeile nennt keine Person, sondern die Domain eines Betriebs.

Wozu. Eine eingetippte Domain ist ein Hinweis auf einen Bedarf. Abgeschickte Domains nutzen wir, um den Betrieb auf sein Profil oder auf den Potenzialcheck anzusprechen und um zu sehen, welches der beiden Angebote gesucht wird. Nur getippte Domains stehen in einer eigenen Liste, die nur wir sehen; sie gehen nicht in die Liste, aus der wir nachfassen, und nicht in die Erfassung neuer Betriebe.

Abwägung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse: einen erkennbaren Bedarf nicht verfallen zu lassen, auch wenn der Klick ausbleibt. Dagegen steht Ihr Interesse, dass eine Eingabe ohne Klick folgenlos bleibt — und bei Einzelunternehmern, deren Domain auf sie selbst verweisen kann, der Personenbezug. Deshalb speichern wir nur den Hostnamen, erst nach einer Pause, sechs Monate lang; deshalb steht der Hinweis am Feld, bevor Sie tippen; und Domains, deren Eintrag über Eintrag entfernen widersprochen wurde, nehmen wir gar nicht erst auf.

Was das ausdrücklich nicht erlaubt. Werbe-E-Mails an eine Adresse, die wir aus einem Impressum haben, setzen nach § 7 Abs. 2 UWG eine vorherige Einwilligung voraus — auch zwischen Unternehmen. Die gibt es hier nicht, und die Eingabe einer Domain ist keine. Die Speicherung ist die eine Frage, die Ansprache die andere: Was an einen noch nicht beanspruchten Eintrag geht, ist die Information nach Art. 14 DSGVO mit dem Weg zu Korrektur und Widerspruch, keine Werbung.

Wie lange. 6 Monate ab der letzten Eingabe, dann wird die Zeile gelöscht — getippt wie abgeschickt. Sie können der Speicherung jederzeit widersprechen (Ihre Rechte); nennen Sie dabei die Domain, damit wir die Zeile finden.

localStorage und sessionStorage statt Cookies

Diese Werte bleiben in Ihrem Browser und werden nie an uns übertragen. Sie sind kein Tracking, sondern Einstellungen — löschbar über die Website-Daten Ihres Browsers. Das einzige Cookie, die Anmeldung im Konto, steht in Abschnitt 11.

ku-theme

Ihre Wahl zwischen hell, dunkel und Systemvorgabe. localStorage, bleibt bis zum Löschen.

plausible_ignore

Nur, wenn Sie ihn selbst setzen: Steht dort "true", meldet das Messskript nichts mehr (Abschnitt 5). Wir setzen diesen Wert nicht — wir lesen ihn.localStorage, bleibt bis zum Löschen.

ku-consent

Ihre Entscheidung zur Karte auf Profilseiten — erteilt oder abgelehnt —, mit Zeitpunkt und Ablaufdatum, wie sie das Werkzeugcookieconsent (orestbida, MIT, von unserem Server geladen) ablegt. Entsteht erst mit Ihrer ersten Entscheidung.localStorage, verfällt nach 182 Tagen.

Das Speichern dieser Einstellungen ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig, weil es für den ausdrücklich gewünschten Dienst — die von Ihnen gewählte Darstellung — erforderlich ist. Es findet keine Wiedererkennung über Sitzungen hinweg statt, die uns erreicht.

Anmeldelink, Sitzung, Nachweis, Bilder

Ein Betrieb pflegt seinen Eintrag über ein Konto. Es gibt kein Passwort: Sie geben Ihre Adresse an, wir schicken einen Link, der 15 Minuten gilt und nur einmal funktioniert. Das Konto entsteht erst, wenn Sie den Link einlösen.

Das Cookie. Nach dem Einlösen setzt die Seite ein Cookie namens__Host-konto. Es enthält nur eine zufällige Kennung, ist für Skripte nicht lesbar und gilt 30 Tage ab der letzten Nutzung. Abmelden löscht es und die Sitzung. Es ist für den Dienst, den Sie ausdrücklich anfordern, erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und wird deshalb nicht erfragt.

Rückweg zur Buchung. Melden Sie sich von /buchen/ aus an, setzt die Anmeldeseite ein zweites Cookie, nach_anmeldung. Es enthält nur die Adresse der Buchungsseite mit Ihrer Wahl (Domain des Betriebs, Leistung, Leistungsfeld, Region, Laufzeit), ist für Skripte nicht lesbar, gilt eine Stunde und wird beim Einlösen des Links gelöscht. Es ist für den Vorgang, den Sie selbst angestoßen haben, erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Nur Prüfsummen. Von Link und Kennung speichern wir nur eine Prüfsumme (SHA-256). Wer einen Abzug unserer Datenbank hätte, könnte damit weder anmelden noch eine Sitzung übernehmen. IP-Adressen speichern wir zum Konto nicht; die Bremse gegen zu viele Anfragen zählt nur im Arbeitsspeicher und vergisst nach einer Stunde.

Der Nachweis. Liegt Ihre Adresse auf der Domain des Betriebs, gilt die Verbindung als belegt. Sonst legen Sie einen TXT-Eintrag im DNS Ihrer Domain an; unser Server fragt ihn auf Ihren Klick ab. Ist die Verbindung belegt, ist der Eintrag verifiziert. Haben Sie außerdem den Nutzungsbedingungen für Anfragen zugestimmt, gehen passende Anfragen über das Anfrageformular an Ihre Adresse, zuerst ohne Namen des Unternehmens (Abschnitt 12). Die Zustimmung speichern wir mit der Fassung und dem Zeitpunkt, solange das Konto besteht: Sie belegt, zu welchen Bedingungen Sie Anfragen bekommen. Jede dieser Mails enthält einen Link, mit dem Sie weitere Anfragen abbestellen; unter Einstellungen im Konto schalten Sie sie ab und wieder ein, pausieren sie bis zu einem Tag Ihrer Wahl (höchstens 180 Tage) und schalten die Erinnerungsmail ab. Diese Einstellungen und jede Änderung daran speichern wir beim Betrieb, solange das Konto besteht.

Bilder und Referenzen. Logo und Bilder, die Sie im Konto hochladen, liegen in unserer eigenen Datenbank, bei keinem weiteren Anbieter. Wir nehmen PNG, JPEG und WebP bis 2 MB an und rechnen daraus neue Bilder in festen Größen; dabei fallen alle Metadaten weg, etwa Kamera, Aufnahmeort, Datum und Autor. Die hochgeladene Datei selbst behalten wir nicht. Bilder und Referenzen sind öffentlich, sie stehen auf Ihrem Profil. Den Namen eines Kunden zeigen wir nur, wenn Sie angeben, dass er zugestimmt hat. Ein ersetztes oder entferntes Bild löschen wir mit der nächsten nächtlichen Aktualisierung, spätestens nach einem Tag.

Premium. Mit Premium kommen Titelbild, weitere Bilder und ein Ansprechpartner mit Name, Rolle und Foto dazu, auf demselben Weg gespeichert. Nennen Sie nur eine Person, die zugestimmt hat. Läuft Premium aus, zeigen wir die Inhalte nicht mehr, speichern sie aber weiter, damit sie nach einer Verlängerung wieder dastehen; löschen können Sie sie jederzeit im Konto. Widerspricht der Betrieb der Aufnahme, löschen wir sie sofort.

Premium bezahlen. Premium schließen Sie im Konto ab und bezahlen auf einer Seite von Stripe (Stripe Payments Europe, Ltd., Dublin, Irland). Dort geben Sie E-Mail-Adresse, Firma, Rechnungsanschrift, auf Wunsch Ihre USt-IdNr. und Ihre Zahlungsdaten an; diese Angaben gehen direkt an Stripe, nicht über unseren Server. Stripe rechnet daraus die Umsatzsteuer, stellt die Rechnungen aus, zieht die Verlängerung ein und betreibt das Kundenportal, in dem Sie Zahlungsart, Rechnungen und Kündigung verwalten. Bei uns kommen davon nur die Kennungen von Kunde und Abo an, der Stand des Abos und die Zeiträume bezahlter Rechnungen; daraus setzen wir, bis wann Premium läuft. Für Rechnungen und die Verwaltung des Abos arbeitet Stripe in unserem Auftrag (Art. 28 DSGVO); für die Zahlung selbst, die Betrugsabwehr und seine Pflichten als Zahlungsdienstleister ist Stripe selbst verantwortlich, nach seiner eigenen Datenschutzerklärung. Stripe gehört zur Stripe, Inc. in den USA; Daten können dorthin übermittelt werden, auf Grundlage des EU-US Data Privacy Framework, unter dem Stripe zertifiziert ist, und der Standardvertragsklauseln der EU-Kommission. Die Bezahlseite liegt auf einer Domain von Stripe; was sie in Ihrem Browser speichert, regelt Stripe.

Auskunft und Löschen stehen im Konto selbst: Die Auskunft nach Art. 15 laden Sie als Datei herunter. Löschen entfernt sofort Konto, Sitzungen, offene Links, die Verbindung zum Betrieb, dessen Referenzen und Bilder sowie die Angaben, die Sie zum Profil gemacht haben: Beschreibung, Regionen, Kontakt und die Inhalte des Premium-Profils verschwinden, Links und Leistungsfelder bekommen den Wert vor Ihrer ersten Änderung zurück. Offene Anträge zu Firma, Anschrift oder Register verfallen; angenommene bleiben, weil wir sie geprüft haben. Das Profil zeigt den neuen Stand binnen Sekunden. Das Protokoll der Änderungen am Eintrag bleibt als Vorgang, ohne Bezug zu Ihnen und ohne die Werte, die Sie eingetragen haben. Ihre privaten Notizen zu Anfragen löschen wir mit; Antworten, die Sie Unternehmen geschickt haben, bleiben bei diesen, bis die Frist ausAbschnitt 12 sie leert.

Wer von Ihrer Anfrage was erfährt, und wann

Vor der Bestätigung niemand. Nach dem Absenden sehen Sie bis zu 3 passende Betriebe, und an Ihre Adresse geht ein Link, der 72 Stunden gilt. Erst wenn Sie über diesen Link bestätigen, geben wir die Anfrage weiter. Ohne Bestätigung löschen wir sie nach 72 Stunden; vorgeschlagene Betriebe erfahren davon nichts.

Mit Kontaktwunsch geht Ihr Vorhaben an höchstens 3 verifizierte Dienstleister, die das Register automatisch auswählt: passendes Leistungsfeld, gleiches Land, Nähe vor Vollständigkeit des Profils; Premium-Betriebe zuerst und bis zu 24 Stunden früher (Methodik). Kommen Sie vom Profil eines Betriebs, geht sie nur an diesen. Zuerst sieht ein Empfänger Vorhaben, die angekreuzten Themen aus dem Potenzialcheck, Branche, Betriebsgröße, Leistungsfelder, Zeitrahmen, Budget und die ersten zwei Ziffern Ihrer Postleitzahl — keinen Namen, keine Adresse, keine Firma. Erst wenn er annimmt, sieht er Name, E-Mail-Adresse, Telefon, Firma und Website, soweit Sie sie angegeben haben, und verarbeitet sie ab dann in eigener Verantwortung, um Ihnen zu antworten. Nennen Sie deshalb im Vorhaben selbst keine Namen.

Ohne Kontaktwunsch bekommen nur Sie etwas: bis zu 10 passende Betriebe per Mail. In beiden Fällen erfahren verifizierte Betriebe, die auf Ihrer Liste stehen, ohne Empfänger zu sein, dass sie einem Unternehmen vorgeschlagen wurden — mit Leistungsfeld, Region und Zeitrahmen, ohne Vorhaben, Branche, Größe oder Namen, höchstens einmal am Tag. Ungeprüfte Einträge stehen nur mit öffentlichen Angaben auf der Liste und bekommen nichts.

Statuslink. Über den Link aus der Mail sehen Sie, wer Ihre Anfrage hat, wer angenommen oder abgesagt hat, und alle Angaben, die wir dazu speichern. Gespeichert ist nur eine Prüfsumme des Links. Verloren? Auf /anfrage/status/ schicken wir neue Links an die Adresse, mit der Sie angefragt haben; die alten gelten dann nicht mehr. Ob ein Betrieb Ihre Anfrage geöffnet hat, zeigen wir Ihnen nicht, und unsere Mails enthalten keine Zählpixel: Sie kommen als Text- und HTML-Fassung, ohne nachgeladene Bilder und ohne umgeleitete Links.

Vorbelegte Formulare. Links in unseren Mails füllen Formulare vor, etwa eine neue Anfrage mit Ihrer Adresse, Branche und Größe oder die Anmeldung mit der Adresse des Betriebs. Ihre Adresse steht dabei nicht im Link: Er trägt einen Zufallsschlüssel, und die Werte liegen bei uns, höchstens 30 Tage und nie länger als die Anfrage selbst. Abgeschickt wird erst, wenn Sie es tun. Über „Vorbelegung löschen“ auf der Seite machen Sie den Link sofort unwirksam; die Werte sind dann gelöscht.

Antworten, Rückfrage, Rückmeldung. Die Antworten der Betriebe stehen auf Ihrer Statusseite nebeneinander. 14 Tage nach der Bestätigung fragen wir einmal per Mail, mit wem Sie weiterarbeiten, sofern ein Betrieb angenommen hat und Sie es uns noch nicht gesagt haben. Ihre Antwort — ein Betrieb, keiner oder noch offen — speichern wir bei der Anfrage. Der gewählte Betrieb erfährt, dass Sie mit ihm weiterarbeiten; die anderen nur, dass Sie sich anders entschieden haben. Öffentlich zeigen wir davon nichts, auch keine Zahl.

Zurückziehen und löschen. Auf der Statusseite ziehen Sie die Anfrage zurück; Betriebe, die sie gesehen haben, bekommen eine Mail ohne Ihre Kontaktdaten. Dort löschen Sie auch Ihre Angaben sofort: Vorhaben, Themen, Name, Adresse, Telefon, Firma, Website, Postleitzahl und die Antworten der Betriebe; danach gilt der Link nicht mehr. Kontaktdaten, die ein Betrieb nach dem Annehmen schon gesehen hat, liegen bei ihm; wenden Sie sich dafür an ihn.

Nachrücken. Nimmt ein Empfänger binnen 2 Werktagen weder an noch sagt er ab, sagt er ab und nimmt das nicht binnen 24 Stunden zurück, oder nimmt er keine Anfragen mehr an, geht Ihr Vorhaben an den nächsten passenden verifizierten Betrieb — wieder ohne Namen, höchstens 3-mal je Anfrage, und nie bei einer Anfrage vom Profil eines Betriebs. Wer nachrückt, steht auf Ihrer Statusseite, und wir schreiben es Ihnen.

Missbrauch, Meldung, Sperre. Gegen Bots prüft Cloudflare Turnstile; ohne JavaScript gilt stattdessen eine enge Grenze je Anschluss, gezählt nur im Arbeitsspeicher. Ein zu schnell ausgefülltes Formular, mehr als drei Links im Vorhaben, eine Wegwerfadresse, derselbe Text zweimal binnen 24 Stunden oder zu viele bestätigte Anfragen derselben Adresse oder Firmendomain halten die Anfrage an, bis wir sie angesehen haben. Ein Betrieb, der Ihre Anfrage bekommt, kann sie uns als Missbrauch melden, mit einem Grund aus einer festen Liste und, bei „Sonstiges“, einem kurzen Text. Bis wir entschieden haben, läuft seine Frist nicht. Sperren wir die Anfrage, kann sie niemand mehr annehmen, Betriebe, die sie gesehen haben, erfahren das ohne Grund, und Sie bekommen eine Mail mit unserer Begründung, sofern die Anfrage da noch lief. Einwände schicken Sie an infotion.cominfotion.com; wir prüfen sie von Hand.

Wie lange. Unbestätigt 72 Stunden, dann löschen wir die Anfrage. Die Seite direkt nach dem Absenden ist 24 Stunden erreichbar. Nach 90 Tagen ohne Aktivität läuft eine Anfrage ab, und der Statuslink gilt nicht mehr. 6 Monate nach Abschluss, Rücknahme, Sperre oder Ablauf leeren wir den Inhalt: Vorhaben, Themen aus dem Potenzialcheck, Name, E-Mail-Adresse, Telefon, Firma, Website, Postleitzahl, die Prüfsumme des Anschlusses, die Antworten der Betriebe, ihre Notizen und den Freitext ihrer Absage- und Meldegründe. Was bleibt — Zeitpunkte, Leistungsfelder, Branche, Größenklasse, Region, Empfänger, ihre Stände und die gewählten Gründe ohne Text —, zeigt auf keine Person mehr und dient der Reaktionszeit der Betriebe; es wird 24 Monate nach dem Ende gelöscht. Unsere eigene Begründung einer Sperre oder einer Entscheidung über eine Meldung leeren wir mit dem Inhalt, auch im Bearbeitungsprotokoll; dort bleibt bis zum Ende des Gerüsts nur, dass und wann wir entschieden haben, dann löschen wir es mit. Kontaktdaten, die ein Betrieb nach dem Annehmen gesehen hat, verarbeitet er in eigener Verantwortung.

Reaktionszeit. Wie schnell ein Betrieb annimmt oder absagt, zeigen wir auf seinem Profil (Methodik). Damit sich ein Betrieb nicht selbst schnell macht, speichern wir vom Anschluss, über den Sie absenden, eine Prüfsumme mit einem geheimen Schlüssel aus unserer Serverumgebung, nie die IP-Adresse. Reagiert ein Betrieb über denselben Anschluss, zählt die Anfrage für seine Reaktionszeit nicht; seine eigene Adresse speichern wir dabei nicht. Die Prüfsumme leeren wir mit dem Inhalt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Eine Angabe, auf die Sie sich bei der Wahl eines Betriebs stützen, soll stimmen.

Wenn Sie Dienstleister sind. Was Ihr Betrieb mit einer Anfrage tut — öffnen, annehmen, absagen mit Grund, antworten, Stand setzen, melden —, speichern wir mit Zeitpunkt bei der Zustellung. Das Unternehmen sieht Ihre Antwort mit dem Ansprechpartner, den Sie nennen, und ob Sie angenommen oder abgesagt haben; ob Sie die Anfrage geöffnet haben, sieht es nicht. Ihre Antwort korrigieren Sie 60 Minuten lang. Die private Notiz (500 Zeichen) sieht nur Ihr Konto; löschen Sie das Konto, löschen wir sie sofort. Antworten bleiben beim Unternehmen, bis die Frist oben sie leert. Die Auskunft im Konto enthält Ihre Anfragen, Antworten und Stände.

Wer die Daten zu sehen bekommt

Alle drei sind Auftragsverarbeiter nach Art. 28 DSGVO, Stripe für Rechnungen und Abo, für die Zahlung selbst eigener Verantwortlicher (Abschnitt 11), und werden vor dem Livegang vertraglich gebunden. Amazon SES verschickt jede Mail dieser Seite in Text- und HTML-Fassung und sieht dabei Empfängeradresse, Betreff und Inhalt. Die Mails laden keine Bilder nach; Zählpixel, Öffnungs- und Klickmessung oder umgeleitete Links setzen wir nicht ein. Für den Spam-Schutz erhält Cloudflare IP-Adresse und Browserangaben (Abschnitt 15). Darüber hinaus erhalten Daten nur Behörden, und nur bei gesetzlicher Verpflichtung. Bestätigen Sie eine Anfrage über /anfrage/mit Kontaktwunsch, geht sie an höchstens drei verifizierte Dienstleister, die das Register automatisch nach Leistungsfeld und Nähe auswählt — von einem Profil aus nur an diesen Betrieb —, und Ihre Kontaktdaten an den, der annimmt (Abschnitt 12). Das ist der Zweck der Vorschläge und Anfragen. Ungeprüfte Einträge bekommen nichts. Der Report aus dem Potenzialcheck geht an keinen Dienstleister.

Die Einträge stammen nicht von den Betroffenen

Der überwiegende Teil der Registerdaten wird nicht bei den Betrieben erhoben, sondern aus öffentlich zugänglichen Quellen übernommen — vor allem aus dem Impressum der eigenen Website. Damit greift Art. 14 DSGVO: Herkunft, Zweck, Rechtsgrundlage, Empfänger, Dauer und Rechte müssen mitgeteilt werden.

Diese Information steht vollständig auf einer eigenen Seite, damit sie aus jedem Profil in einem Klick erreichbar ist:

Ein Widerspruch wird ohne Prüfung umgesetzt: Der Eintrag ist binnen eines Werktags nicht mehr öffentlich, Logo, Referenzen und hochgeladene Bilder sind sofort gelöscht, der Vorgang ist nach spätestens 7 Tagen abgeschlossen. Korrekturen bearbeiten wir innerhalb von 14 Tagen. Abgerufene Rohseiten des Crawlers werden nach 90 Tagen gelöscht, Einträge dauerhaft nicht erreichbarer Domains nach 180 Tagen.

Cloudflare Turnstile vor den Formularen

Turnstile prüft, ob ein Formular von einem Menschen abgeschickt wird: Anfrage, Eintrag beanspruchen, Anmeldung im Konto, Widerspruch, Korrektur und „Zahlen per Mail“ im Potenzialcheck, dazu „Registerdaten anzeigen“ auf Profilseiten. Ohne diese Prüfung könnte ein Programm fremde Einträge entfernen lassen oder Postfächer mit Mails füllen.

• Wann es lädt. Ihr Browser holt das Prüfskript von challenges.cloudflare.com erst, wenn Sie in eines dieser Formulare klicken oder tippen, auf Profilseiten erst mit dem Klick auf „Registerdaten anzeigen“. Seiten ohne diese Formulare laden nichts von Cloudflare. Eingebunden ist der Modus interaction-only: Sichtbar wird das Widget nur, wenn Cloudflare nachfragen will.
• Was Cloudflare erhält. Beim Laden Ihre IP-Adresse und technische Angaben Ihres Browsers, die Cloudflare zur Prüfung auswertet. Beim Absenden schickt unser Server das Prüfzeichen und Ihre IP-Adresse an Cloudflare und bekommt nur „bestanden“ oder „nicht bestanden“ zurück. Den Inhalt des Formulars bekommt Cloudflare nicht.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, die Formulare und die Betriebe im Register vor automatisiertem Missbrauch zu schützen. Ob Turnstile dabei Angaben im Endgerät speichert oder ausliest (§ 25 TDDDG), haben wir noch nicht selbst nachgeprüft.
• Übermittlung in die USA. Empfänger ist die Cloudflare, Inc. in den USA. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); Cloudflare ist nach eigener Datenschutzerklärungdarunter zertifiziert. Entfällt die Zertifizierung, stützt Cloudflare die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• Ohne JavaScript lädt nichts von Cloudflare. Das Anfrageformular nimmt dann trotzdem an, mit enger Grenze je Anschluss (Abschnitt 12); die übrigen Formulare brauchen die Prüfung und damit JavaScript.

Bis zum 30.09.2026 stand hier „wenn eingeschaltet“, obwohl Turnstile lief, und das Skript lud schon, sobald ein Formular in die Nähe des sichtbaren Bereichs kam. Bis zum 15.09.2026 stand hier, es werde „nichts geladen“. Der Mailversand stand bis zum 26.09.2026 ebenfalls hier; er läuft über Amazon SES und steht unter Empfänger. Kommt ein einwilligungspflichtiger Dienst dazu, nimmt ihn der Einwilligungshinweis auf — Ablehnen so leicht wie Annehmen, und der Dienst lädt erst nach Zustimmung.

Auskunft, Berichtigung, Löschung, Widerspruch

• Auskunft (Art. 15) — welche Daten zu Ihnen gespeichert sind, zu welchem Zweck und woher sie stammen.
• Berichtigung (Art. 16) — falsche Angaben werden korrigiert. Eintrag korrigieren.
• Löschung (Art. 17) — Ihre Daten werden gelöscht, soweit keine Aufbewahrungspflicht entgegensteht. Eintrag entfernen.
• Einschränkung (Art. 18) — bis eine strittige Angabe geklärt ist, wird der Eintrag auf Wunsch nicht veröffentlicht.
• Datenübertragbarkeit (Art. 20) — die von Ihnen selbst übermittelten Angaben erhalten Sie in einem gängigen Format.
• Widerspruch (Art. 21) — gegen jede Verarbeitung auf Grundlage des berechtigten Interesses, jederzeit, ohne Begründung, ohne Prüfung der Berechtigung.
• Widerruf einer Einwilligung(Art. 7 Abs. 3) — mit Wirkung für die Zukunft, formlos.

Für alles genügt eine Mail an infotion.cominfotion.com. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3).

Aufsichtsbehörde

Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, ohne uns vorher zu fragen — an Ihrem Wohnsitz, Ihrem Arbeitsplatz oder am Sitz des Verantwortlichen. Zuständig ist dort:

Behörde

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
lda.bayern.de

Änderungen dieser Erklärung

Stand: 30.09.2026. Diese Erklärung wird angepasst, sobald sich die beschriebenen Verfahren ändern. Der jeweils gültige Stand steht hier oben.

Zuletzt geändert am 30.09.2026: Abschnitt 15 beschreibt Turnstile als laufenden Spam-Schutz, mit Rechtsgrundlage und Grundlage der Übermittlung in die USA; das Skript lädt jetzt erst, wenn Sie ein Formular benutzen. Abschnitt 2 und13 nennen Cloudflare entsprechend. Abschnitt 6 nennt nur noch Inter und Inter Tight; IBM Plex Mono liefern wir nicht mehr aus.

Davor am 28.09.2026, nachts: Unsere Adresse für alle Anliegen, auch zum Datenschutz, ist jetzt infotion.cominfotion.com; bis dahin stand hier die Adresse unter schwarzplan.eu. Abschnitt 13 nennt die AWS-Region, aus der Amazon SES verschickt: eu-central-1 in Frankfurt am Main.

Davor am 28.09.2026, spätabends: Der Potenzialcheck verschickt die angeforderten Zahlen jetzt per Mail. Die Zeile im Verfahrensverzeichnis in Abschnitt3 heißt „KI-Potenzialcheck, Zahlen per Mail“ und nennt den Versand, die Grenze von3 Mails je Adresse und Tag und deren Rechtsgrundlage; bis dahin stand dort, einen automatischen Versand gebe es noch nicht.

Davor am 28.09.2026, abends: Das Verfahrensverzeichnis in Abschnitt3 hat die Zeile „Zählung der Profil- und Listenabrufe“. Wir zählen je Anschluss, wie viele Profile abgerufen werden, um ein Kopieren des Registers zu erkennen; statt der IP-Adresse steht ein täglich wechselnder Hash in der Tabelle, gelöscht nach 7 Tagen.

Ebenfalls am 28.09.2026, abends: Abschnitt 7 beschreibt den Abruf auf Zuruf. Fehlt ein Symbol, holt es unser Server in dem Moment von der Website des Betriebs, und auf der Startseite liest er Startseite und Impressum wie bisher nur der Potenzialcheck. Ihr Browser fragt weiter keinen Dritten.

Davor am 28.09.2026: Abschnitt 7 beschreibt die Favicons neu. Ihr Browser lädt sie nur noch von diesem Server; der Abruf bei DuckDuckGo und Google ist entfallen, auch auf Profilen ohne Symbol, wo er schon beim Aufruf lief. Abschnitt2 nennt deshalb zwei statt drei Stellen mit Drittlandberührung, Abschnitt10 den Schlüssel fav:<domain> nicht mehr.

Davor am 27.09.2026: Premium wird über Stripe bezahlt. Abschnitt 11beschreibt die Zahlung, Abschnitt 13 nennt Stripe als Empfänger, das Verfahrensverzeichnis hat die Zeile „Premium bezahlen (Stripe)“.

Davor am 26.09.2026, abends, nach einem Abgleich mit dem Code: Abschnitt13 nennt Amazon SES als Versanddienst; bis dahin stand der Versand als „noch nicht benannt“ und unter „Geplant“, obwohl er lief. Abschnitt 15 heißt deshalb „Spam-Schutz“. Abschnitt 12 nennt die Meldung einer Anfrage durch einen Betrieb, die Sperre mit unserer Begründung an Sie, dass die Begründungen des Betreibers bis zur Löschung des Gerüsts bleiben, und einen neuen Absatz für Dienstleister. Abschnitt 11 sagte, Anfragen ließen sich „bis zu einem Tag“ pausieren; es gilt: bis zu einem Tag Ihrer Wahl, höchstens 180 Tage. Im Verfahrensverzeichnis ist die Zeile „Anfragen im Konto bearbeiten“ neu; die Frist des Potenzialchecks läuft ab Eingang, nicht ab Auswertung.

Davor am 26.09.2026: Abschnitt 12 nennt Rückfrage nach 14 Tagen, Rückmeldung, Zurückziehen und das sofortige Löschen der Angaben auf der Statusseite; die Zeile „Anfrage an Dienstleister“ im Verfahrensverzeichnis nennt die Rückmeldung.

Davor am 25.09.2026, abends: neuer Abschnitt 12 zur Anfrage — Bestätigung per Mail, Weitergabe zuerst ohne Namen, Kontaktdaten erst nach dem Annehmen, Premium-Vorrang, Benachrichtigung vorgeschlagener Betriebe. Die Abschnitte danach rücken um eins; die Zeile „Anfrage an Dienstleister“ im Verfahrensverzeichnis ist neu gefasst.

Davor am 25.09.2026: neuer Abschnitt 11 zum Konto — Anmeldelink, Sitzungscookie, Nachweis über die Domain. Damit setzt die Seite ein Cookie, aber nur nach einer Anmeldung; Einleitung und Abschnitt 2 sagen das jetzt. Die Abschnitte danach rücken um eins, das Verfahrensverzeichnis hat zwei Zeilen mehr. Am selben Tag ergänzt: Wer das Konto löscht, entfernt damit auch seine Angaben zum Profil (Abschnitt 11).

Davor am 22.09.2026, abends: Abschnitt 8 — die Zustimmung zur Karte wird seither im Browser gemerkt (ku-consent, Abschnitt 10) und gilt für alle Profile, statt je Karte neu zu fragen; Widerruf über „Einwilligungen" in der Fußzeile. Neben dem OpenStreetMap-Link steht ein Link zu Google Maps. Abschnitt 2 sagt, wo gefragt wird.

Davor am 22.09.2026, zwei neue Abschnitte: 8 die Karte auf Profilseiten, die erst nach Klick Kacheln von OpenFreeMap lädt, und 9 die Domains aus den beiden Feldern im Kopf der Startseite, die wir seither sechs Monate speichern, um beim Betrieb nachzufassen. Die Abschnitte danach rücken um zwei.

Davor am 15.09.2026, in vier Punkten — alle vier, weil hier etwas stand, das nicht mehr stimmte:

• Abschnitt 5 sagt jetzt, dass das Messskript einen Wert im Browserspeicher liest — und dass es die „Do Not Track"-Einstellung nicht auswertet.
• Abschnitt 3 sagte, die Formulare endeten im Browser und sendeten nichts. Sie senden seit einer technischen Umstellung an unseren Server.
• Abschnitt 12 sagte zu Turnstile pauschal, es werde „nichts geladen". Das gilt nur, solange der Spam-Schutz aus ist; ist er an, lädt Ihr Browser Cloudflare, und unsere IP-Übermittlung dorthin steht jetzt dort.
• Abschnitt 2 nannte als einzige Drittlandberührung die beiden Favicon-Abrufe. Turnstile ist die dritte, und anders als jene eine Übermittlung durch uns.

Angepasst wird weiter, sobald sich Verfahren ändern.