Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

GRZ Digital GbR
vertreten durch die Gesellschafter Luca Maximilian Zell, Laurenz Reuber und Sören Glock
Im Baumgarten 28
36179 Bebra
E-Mail: info@grz-digital.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Wenden Sie sich in allen Datenschutzfragen direkt an die oben genannte Adresse.

2. Das Wichtigste vorab

Diese Website ist bewusst datensparsam gebaut:

• Keine Cookies, kein Tracking. Wir setzen keine Cookies, verwenden keine Webanalyse-Dienste (kein Google Analytics), keine Werbe-Pixel und keine Tag-Manager. Deshalb gibt es auch kein Cookie-Banner — es gibt nichts, wozu wir Sie um Einwilligung bitten müssten.
• Keine externen Schriftarten. Alle Schriften werden von unseren eigenen Servern ausgeliefert. Beim Aufruf der Seite wird keine Verbindung zu Google Fonts oder anderen Font-Diensten aufgebaut.
• Daten fließen nur, wenn Sie handeln. Personenbezogene Daten verarbeiten wir, wenn Sie uns ein Formular schicken, uns eine E-Mail schreiben oder ein eingebettetes Video aktiv starten. Was dabei jeweils passiert, steht in den folgenden Abschnitten.
• Verarbeitung in Deutschland und der EU, soweit technisch möglich. Wo Dienstleister mit Sitz in den USA beteiligt sind (Cloudflare für die Auslieferung, Microsoft für Videokonferenzen), benennen wir das ausdrücklich und stützen die Übermittlung auf die in Abschnitt 12 genannten Garantien.

3. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten, deren Herkunft, Empfänger und den Zweck der Verarbeitung;
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden Interessen entgegenstehen;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO) in einem strukturierten, gängigen und maschinenlesbaren Format;
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an info@grz-digital.de.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1, 65189 Wiesbaden
https://datenschutz.hessen.de

4. Bereitstellung der Website und Server-Logfiles

4.1 Auslieferung über Cloudflare

Diese Website wird als vorgerenderte, statische Seite über das weltweite Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare") ausgeliefert. Cloudflare betreibt Rechenzentren auch in Deutschland und der EU; Ihr Browser verbindet sich in der Regel mit dem nächstgelegenen Standort. Cloudflare stellt zugleich Schutzfunktionen gegen Angriffe (Web Application Firewall, DDoS-Abwehr, Bot-Erkennung, Ratenbegrenzung) bereit.

Bei jedem Aufruf verarbeitet Cloudflare in unserem Auftrag technisch notwendige Verbindungsdaten:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL und HTTP-Methode, übertragene Datenmenge, Statuscode,
• Referrer-URL (sofern vom Browser übermittelt),
• Browsertyp und -version, Betriebssystem (User-Agent),
• Herkunftsland der IP-Adresse (grobe Geolokalisierung).

Diese Daten werden von Cloudflare zur Bereitstellung, Absicherung und Fehleranalyse des Dienstes verarbeitet und nach kurzer Zeit gelöscht bzw. anonymisiert. Wir selbst haben Zugriff auf aggregierte Statistiken und auf Fehlerprotokolle unseres Codes; diese enthalten keine Formularinhalte. Einzelne IP-Adressen werten wir nur zur Abwehr von Angriffen oder zur Aufklärung von Störungen aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der schnellen, stabilen und sicheren Auslieferung der Website und der Abwehr von Missbrauch.

Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (siehe Abschnitt 12).

4.2 Bilder und Videos

Bilder, Videos und andere Mediendateien sind Bestandteil der Website und werden zusammen mit ihr über das unter 4.1 beschriebene Cloudflare-Netzwerk ausgeliefert. Einen separaten Medien- oder Inhaltsserver betreiben wir nicht; beim Laden einer Mediendatei fallen keine weiteren Daten an als unter 4.1 beschrieben.

4.3 Schriftarten

Wir verwenden ausschließlich lokal gehostete Schriftarten (WOFF2-Dateien von unserem eigenen Server). Beim Aufruf der Seite wird keine Verbindung zu Servern von Google Fonts, Fontshare oder anderen Schriftanbietern aufgebaut.

4.4 Sicherheitskopfzeilen und Verschlüsselung

Die Übertragung erfolgt durchgehend TLS-verschlüsselt (HTTPS, HSTS). Eine strikte Content-Security-Policy verhindert, dass Inhalte von nicht ausdrücklich freigegebenen Drittservern nachgeladen werden. Diese Maßnahmen dienen Ihrem Schutz und sind Teil unserer technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

5. Kontaktformular („Projektanfrage")

5.1 Welche Daten

Über das Kontaktformular erheben wir: Name, E-Mail-Adresse, Art des Anliegens, optional die Adresse Ihrer aktuellen Website, Ihre Nachricht sowie technisch den Zeitpunkt der Absendung und die Seite, von der aus Sie das Formular abgeschickt haben.

5.2 Wie die Verarbeitung abläuft

1. Spam-Schutz (Cloudflare Turnstile): Vor dem Absenden prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt. Einzelheiten in Abschnitt 7.
2. Ratenbegrenzung: Unser Server begrenzt die Zahl der Formularsendungen pro IP-Adresse und Zeitfenster. Die IP-Adresse wird hierfür kurzzeitig als Zähler verwendet und nicht dauerhaft gespeichert.
3. Weiterleitung: Ihre Angaben werden von unserem Server entgegengenommen, auf die vorgesehenen Felder reduziert und verschlüsselt an unsere Automatisierungsplattform (n8n) übergeben. Diese betreiben wir selbst auf einem Server der Hetzner Online GmbH in Deutschland. Sollte diese Plattform vorübergehend nicht erreichbar sein, wird Ihre Anfrage in einem verschlüsselten Zwischenspeicher bei Cloudflare (Workers KV) gehalten, bis wir sie manuell übernehmen — so geht keine Anfrage verloren.
4. Speicherung und Zustellung: Die Automatisierungsplattform legt Ihre Anfrage in einer internen Anfragenliste auf demselben Server ab und stellt sie uns per E-Mail zu. Sie erhalten automatisch eine Eingangsbestätigung an die angegebene E-Mail-Adresse. Der E-Mail-Versand erfolgt über unser Postfach bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur.
5. Kein Drittzugriff: Die Formulardaten werden nicht an Dritte weitergegeben, nicht zu Werbezwecken genutzt und nicht in Dienste außerhalb der EU übertragen.

5.3 Rechtsgrundlage und Speicherdauer

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen und an der Abwehr von Missbrauch).

Wir speichern Ihre Anfrage, bis die Bearbeitung abgeschlossen ist, längstens zwölf Monate nach dem letzten Kontakt. Kommt ein Vertrag zustande, werden die Daten Teil der Vertragsunterlagen und unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (Abschnitt 13). Eine Löschung vor Ablauf der Frist können Sie jederzeit formlos verlangen.

6. Bewerbungsformular (sofern wir auf dieser Website Stellen anbieten)

Sofern wir auf dieser Website ein Bewerbungsformular bereitstellen, erheben wir darüber Ihren Namen, Ihre Telefonnummer, die gewünschte Position und den möglichen Starttermin. Der Schutz vor automatisierten Eingaben erfolgt hier ohne Turnstile über ein unsichtbares Formularfeld (Honeypot) und die Ratenbegrenzung. Die Daten werden wie unter 5.2 beschrieben an unsere Automatisierungsplattform übergeben und uns per E-Mail zugestellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Beschäftigungsverhältnisses) in Verbindung mit Art. 88 DSGVO und § 26 BDSG. Bewerbungsdaten löschen wir spätestens sechs Monate nach Abschluss des Bewerbungsverfahrens, sofern Sie nicht in eine längere Aufbewahrung (Talentpool) einwilligen oder ein Beschäftigungsverhältnis zustande kommt.

7. Cloudflare Turnstile (Spam- und Bot-Schutz)

Zum Schutz unserer Formulare vor automatisiertem Missbrauch setzen wir Cloudflare Turnstile ein — eine Bot-Erkennung, die ohne Bilderrätsel und in der Regel ohne jede Interaktion auskommt. Beim Laden eines Formulars wird ein Skript von challenges.cloudflare.com nachgeladen. Turnstile wertet technische Merkmale Ihres Browsers und Ihrer Verbindung aus (IP-Adresse, Browser-Eigenschaften, Verhalten der Seite) und erzeugt ein kurzlebiges Prüf-Token. Beim Absenden prüft unser Server dieses Token bei Cloudflare; dabei wird Ihre IP-Adresse an Cloudflare übermittelt. Turnstile setzt keine Cookies zu Tracking-Zwecken und erstellt keine Nutzerprofile.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Abwehr von Spam und automatisierten Angriffen auf unsere Formulare. Soweit Turnstile auf Informationen in Ihrem Endgerät zugreift, ist dies zur Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes (Formularversand) unbedingt erforderlich, § 25 Abs. 2 Nr. 2 TDDDG. Anbieter und Garantien für die Übermittlung: siehe Abschnitte 4.1 und 12.

8. Reichweitenmessung ohne Personenbezug

Um zu erkennen, ob unsere Formulare funktionieren und wie viele Anfragen eingehen, zählen wir auf unserem Server technische Ereignisse (z. B. „Anfrage eingegangen", „Anfrage als Spam abgewiesen") zusammen mit dem Seitenpfad und dem Herkunftsland. Dabei werden keine IP-Adressen, keine Kennungen, keine Cookies und keine Formularinhalte gespeichert. Die Zählung erfolgt in der Analytics Engine von Cloudflare und enthält keine personenbezogenen Daten. Eine Webanalyse einzelner Seitenaufrufe oder Besucher findet nicht statt.

9. Videos

Videos auf dieser Website werden standardmäßig von unserem eigenen Server (Abschnitt 4.2) ausgeliefert; es wird keine Verbindung zu Videoplattformen aufgebaut.

Sollten wir einzelne Videos über YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder Vimeo (Vimeo.com, Inc., 330 West 34th Street, New York, NY 10001, USA) einbinden, geschieht dies ausschließlich als Zwei-Klick-Lösung: Sie sehen zunächst nur ein von uns gehostetes Vorschaubild. Erst wenn Sie auf „Abspielen" klicken, wird der Player des Anbieters geladen und es werden Daten (IP-Adresse, Geräteinformationen, ggf. Cookies des Anbieters) an diesen übertragen. YouTube binden wir dabei im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Rechtsgrundlage ist Ihre durch den Klick erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Informationen zur Verarbeitung durch die Anbieter: https://policies.google.com/privacy und https://vimeo.com/privacy.

10. Kontaktaufnahme außerhalb der Website

10.1 E-Mail und Telefon

Wenn Sie uns per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (Absenderadresse bzw. Rufnummer, Name, Inhalt der Nachricht, Gesprächsnotizen) zur Bearbeitung Ihres Anliegens. Unsere Postfächer werden von der IONOS SE (Abschnitt 5.2) in Rechenzentren in Deutschland betrieben. Unverschlüsselte E-Mails können auf dem Transportweg von Dritten gelesen werden; für vertrauliche Informationen sprechen Sie uns bitte auf einen sicheren Übertragungsweg an.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Kommunikation), sonst Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer wie unter 5.3.

10.2 Videokonferenzen (Microsoft Teams)

Für Online-Besprechungen nutzen wir auf Wunsch Microsoft Teams der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Verarbeitet werden Ihre Angaben beim Beitritt (Name, ggf. E-Mail-Adresse), Meeting-Metadaten (Zeitpunkt, Dauer, Teilnehmer) sowie Audio-, Video- und Chat-Inhalte während der Besprechung. Aufzeichnungen erfolgen nur nach vorheriger Ankündigung und Zustimmung aller Teilnehmenden. Microsoft verarbeitet Daten auch in den USA; hierfür gelten die Zertifizierung nach dem EU-U.S. Data Privacy Framework und die EU-Standardvertragsklauseln (Abschnitt 12). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (effiziente Durchführung von Besprechungen).

10.3 WhatsApp

Auf Ihren ausdrücklichen Wunsch kommunizieren wir mit Ihnen im laufenden Projekt auch über WhatsApp der WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Wir nutzen diesen Kanal nur, wenn Sie ihn selbst vorschlagen oder ihm zustimmen, und versenden darüber keine Werbung. Bitte beachten Sie, dass WhatsApp Metadaten der Kommunikation (Rufnummern, Zeitpunkte, Geräteinformationen) verarbeitet und hierzu auch Daten in die USA übermittelt; auf diese Verarbeitung haben wir keinen Einfluss. Die Nachrichteninhalte selbst sind Ende-zu-Ende-verschlüsselt. Für sensible Inhalte empfehlen wir E-Mail oder Telefon. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Entscheidung für diesen Kanal), im Übrigen Art. 6 Abs. 1 lit. b DSGVO. Datenschutzhinweise von WhatsApp: https://www.whatsapp.com/legal/privacy-policy-eea.

10.4 Verlinkte Social-Media-Profile

Auf dieser Website verlinken wir auf unser Unternehmensprofil bei LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland). Es handelt sich um einfache Hyperlinks, nicht um eingebettete Plugins: Solange Sie den Link nicht anklicken, werden keine Daten an LinkedIn übertragen. Nach dem Klick gelten die Datenschutzbestimmungen des jeweiligen Netzwerks (https://www.linkedin.com/legal/privacy-policy). Für die Verarbeitung auf unseren Profilseiten sind wir mit dem Netzwerkbetreiber gemeinsam verantwortlich (Art. 26 DSGVO); Betroffenenrechte können Sie sowohl gegenüber uns als auch gegenüber dem Betreiber geltend machen.

11. Kunden, Interessenten und Geschäftspartner

Im Rahmen von Angeboten, Verträgen und deren Abwicklung verarbeiten wir Stammdaten (Firma, Ansprechpartner, Anschrift, Kontaktdaten), Vertrags- und Abrechnungsdaten sowie die projektbezogene Kommunikation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungen und Geschäftsbriefen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Empfänger sind, soweit erforderlich, unser Steuerberater, unsere Bank und Zahlungsdienstleister sowie Hosting- und Domain-Anbieter, die wir im Auftrag des Kunden beauftragen.

Soweit wir im Rahmen der Betreuung von Kunden-Websites Zugriff auf personenbezogene Daten erhalten, die unsere Kunden in eigener Verantwortung verarbeiten (etwa Bewerbungen oder Kontaktanfragen auf Kunden-Websites), erfolgt dies ausschließlich auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO mit dem jeweiligen Kunden. Für diese Verarbeitung ist der Kunde Verantwortlicher; diese Datenschutzerklärung gilt dafür nicht.

Referenzen: Namen, Funktionen, Zitate und Fotos von Ansprechpartnern unserer Kunden zeigen wir auf dieser Website nur mit deren vorheriger Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die jederzeit mit Wirkung für die Zukunft widerrufen werden kann. Firmennamen und Logos verwenden wir auf Grundlage der vertraglichen Referenzvereinbarung bzw. Art. 6 Abs. 1 lit. f DSGVO.

12. Empfänger und Übermittlung in Drittländer

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) bzw. eigenständige Empfänger ein:

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), sofern der Anbieter dort zertifiziert ist, und ergänzend bzw. ersatzweise auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit zusätzlichen technischen Maßnahmen (Transportverschlüsselung, Datenminimierung). Kopien der jeweiligen Garantien stellen wir auf Anfrage zur Verfügung.

Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO) oder dies zur Durchsetzung unserer Rechte erforderlich ist (Art. 6 Abs. 1 lit. f DSGVO).

13. Speicherdauer

Soweit in dieser Erklärung keine konkrete Frist genannt ist, löschen wir personenbezogene Daten, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Handels- und steuerrechtliche Aufbewahrungsfristen betragen sechs Jahre für Geschäftsbriefe (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO) und acht Jahre für Buchungsbelege und Rechnungen (§ 147 Abs. 3 AO in der seit 2025 geltenden Fassung) bzw. zehn Jahre für Bücher und Jahresabschlüsse. Bis zum Ablauf dieser Fristen wird die Verarbeitung eingeschränkt.

14. Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO).

15. Pflicht zur Bereitstellung

Die Nutzung dieser Website ist ohne Angabe personenbezogener Daten möglich. Für die Bearbeitung einer Anfrage benötigen wir die als Pflichtfeld gekennzeichneten Angaben; ohne sie können wir Ihnen nicht antworten. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich unsere Website, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

---

Stand: August 2026