Datenschutzerklärung

Stand: 27. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

Fassiotti, Lachhein & Moser GbR

Langestraße 14

72285 Pfalzgrafenweiler

Deutschland

E-Mail: jannik.moser@stratkern.com

Telefon: +49 1516 7655748

Vertreten durch die vertretungsberechtigten Gesellschafter Dylan Fassiotti, Moritz Lachhein und Jannik Moser.

2. Wofür diese Erklärung gilt

Diese Erklärung gilt für die Website stratkern.com und für alles, was ein Besucher hier auslösen kann: den Aufruf einer Seite, unsere eigene Zählung der Seitenaufrufe, das Gespräch mit unserem Assistenten Willi im Textchat, das Absenden des Kontaktformulars, die Vorführung unter erleben.stratkern.com und die Anmeldung zum Testraum.

Sie gilt nicht für die Oase eines Kunden. Die Oase ist unser Produkt, läuft unter einer eigenen Adresse und hat eine eigene Datenschutzseite, die jeder angemeldete Nutzer dort aufrufen kann. Für den Testraum, den Sie sich hier selbst anlegen können, gilt Abschnitt 5 dieser Erklärung. Wer hier nur liest, legt bei uns kein Konto an und bekommt keines.

3. Wenn Sie nur eine Seite aufrufen

Die Website liegt auf einem Server, den wir selbst betreiben. Anbieter des Servers ist die Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen. Der Server steht in Nürnberg.

Für den Verbindungsaufbau ist Ihre IP-Adresse technisch nötig. Wir schreiben sie nicht mit. Im Zugriffsprotokoll stehen ausschließlich:

• Zeitpunkt der Anfrage
• Methode, angefragter Pfad und Host
• Statuscode, Dauer und Größe der Antwort
• verwendete TLS-Version

Entfernt werden die IP-Adresse, der Quellport sowie sämtliche Kopfzeilen der Anfrage und der Antwort. Nicht gekürzt, sondern entfernt. Das Protokoll wird spätestens nach sieben Tagen überschrieben.

Beim ersten Aufruf lädt diese Seite von keinem fremden Server. Schriften, Bilder, das Video und das Chat-Fenster kommen von unserem eigenen Server. Es entsteht dabei keine Verbindung zu Google, zu einem Content-Delivery-Netz oder zu einem Messdienst.

Es wird kein Cookie gesetzt und, solange Sie den Chat nicht öffnen, nichts in Ihrem Browser abgelegt (Ziffer 6). Wir zählen allerdings mit, wie oft eine Seite geöffnet und wie weit sie gelesen wird. Wie das im Einzelnen aussieht, steht im nächsten Abschnitt.

Was diese Website im Browser ablegt, und wann

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb der Website.

4. Unsere eigene Zählung

Seit dem 27. August 2026 zählen wir mit, wie diese Website benutzt wird. Wir tun das selbst und so grob wie möglich. Die Zählung selbst läuft nur auf unserem Server; dabei ist kein fremder Dienst beteiligt.

Erfasst werden sechs Ereignisse: dass eine Seite geöffnet wurde, dass jemand bis zur Hälfte gelesen hat, dass jemand bis zum Ende gelesen hat, dass ein Knopf geklickt wurde, dass das Kontaktformular abgeschickt wurde und dass der Chat geöffnet wurde.

Übertragen werden dabei genau zwei Angaben: die Adresse der Seite und der Name des Ereignisses. Sonst nichts.

Abgelegt wird das in unserer eigenen Datenbank in Nürnberg als eine einzige Zahl je Kalendertag, Seite und Ereignis. Es entsteht keine Zeile, die zu einem Besuch oder zu einer Person gehört, sondern nur ein Zähler, der um eins steigt.

• Es wird keine Besucher-, Sitzungs- oder Gerätekennung erzeugt oder abgeleitet.
• Ihre IP-Adresse wird dabei nicht gelesen, nicht umgerechnet und nicht gespeichert.
• Es wird kein Zeitpunkt festgehalten, der genauer wäre als der Kalendertag.
• In Ihrem Browser wird dafür nichts abgelegt, weder ein Cookie noch ein Eintrag im lokalen Speicher.
• Zwei Aufrufe derselben Person sind für diese Zählung zwei Aufrufe und sonst nichts.

Der Beacon geht an eine Adresse auf stratkern.com selbst. Die Weiterleitung an unsere Auswertung passiert auf dem Server. Für Ihren Browser entsteht dadurch keine Verbindung zu einem anderen Anbieter.

Einmal in der Woche schickt uns ein Vorgang auf demselben Server eine Zusammenfassung dieser Zahlen per E-Mail an jannik.moser@stratkern.com; versendet wird sie über die IONOS SE in Deutschland. Darin stehen ausschließlich die Zahlen, kein Freitext und keine Adresse eines Besuchers.

Wenn Sie nicht mitgezählt werden möchten, schalten Sie JavaScript für stratkern.com ab. Dann wird nichts gesendet, und die Seite bleibt lesbar. Einen Widerspruch im Einzelfall können wir technisch nicht umsetzen, weil wir Sie von keinem anderen Besucher unterscheiden können.

Für diese Zahlen gibt es keine Löschfrist. Sie enthalten keine Angabe zu einer Person, es gibt daran also nichts zu löschen. Das ist eine Entscheidung und kein Versäumnis.

Nach unserer Einschätzung entsteht bei dieser Zählung kein Personenbezug: Es gibt kein Merkmal, über das sich ein einzelner Besucher auch nur aussondern ließe. Wir stützen die Verarbeitung vorsorglich dennoch auf Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist zu erfahren, welche unserer Seiten gelesen werden und an welcher Stelle jemand abbricht.

5. Der Testraum

Sie können sich auf dieser Website selbst einen Testzugang anlegen. Das ist eine eigene Oase, die Sie 7 Tage ab der Bestätigung Ihrer E-Mail-Adresse nutzen können. Danach sperren wir den Zugang. Die Inhalte bewahren wir noch 14 Tage auf, damit Sie sie in eine eigene Oase übernehmen können, und löschen sie dann vollständig. Verlängern kann nur Stratkern.

Bei der Anmeldung verarbeiten wir Ihre E-Mail-Adresse, die Domain darin, den Namen Ihres Betriebs, wenn Sie ihn angeben, den Zeitpunkt, Ihre Einwilligungen mit Wortlaut und Fassung und zwei Zufallszeichenfolgen für die Bestätigung und für die Abmeldung. Ihre IP-Adresse speichern wir dabei nicht. Um Missbrauch zu bremsen, zählen wir Anmeldeversuche je Stunde unter einer Kennung, die aus der IP-Adresse mit einem geheimen Zusatz errechnet wird; aus ihr lässt sich die IP-Adresse nicht zurückgewinnen. Diese Kennung errechnet eine Funktion bei unserem Datenbankanbieter, der Supabase Pte. Ltd. mit Sitz in Singapur. Sie erhält dafür Ihre IP-Adresse, sobald Sie das Anmeldeformular anklicken und die Sicherheitsprüfung (ALTCHA, rechnet in Ihrem Browser, ohne Cookie) startet. Die Anfrage geht dabei von unserem Server in Nürnberg an Supabase; Ihr Browser spricht nur mit stratkern.com. Die Funktion läuft in der Region, die Supabase nach der Nähe zu unserem Server wählt, nicht zwingend in Frankfurt; bei unserer Messung am 15. Oktober 2026 war es Paris. Die Anmeldung selbst liegt in unserer Datenbank in Frankfurt am Main. Der Weg zu Supabase führt über das Netz der Cloudflare, Inc. (USA), die Supabase als Unterauftragsverarbeiter einsetzt. Mehr dazu in Ziffer 11.

Ohne Klick auf den Bestätigungslink entsteht kein Testraum. Der Link gilt 48 Stunden, danach verfällt die Anmeldung. Den Zugang bekommen Sie als Link ohne Passwort. Die Adresse des Testraums und die Links in unseren Mails (testraum-46-224-236-238.sslip.io) löst der Namensdienst sslip.io auf. Ihn betreiben Dritte, ein Vertrag mit uns besteht nicht, und seine Namensserver stehen teils außerhalb der Europäischen Union. Der Dienst erfährt den Namen der Adresse und die Adresse des anfragenden Namensservers; über die Namensauflösung kann außerdem ein Teil Ihrer IP-Adresse (EDNS Client Subnet, ECS) an ihn gehen. Ihre Eingaben erfährt er nicht.

Im Testraum selbst wird verarbeitet, was Sie dort eintragen und fragen, sowie die Antworten darauf. Die Sprachmodelle laufen über EU-Inferenzprofile der Amazon Web Services EMEA SARL, Luxemburg (Konzernmutter Amazon.com, Inc., USA; Rechenzentren in sechs EU-Regionen), und bei der Mistral AI SAS, Paris, mit Verarbeitung in der EU und in EFTA-Staaten, darunter Norwegen und die Schweiz. Der Testraum hat keinen Internetzugriff der Modelle und keine Anbindung an fremde Systeme.

Sie können bis zu zwei Kolleginnen oder Kollegen mit einer Adresse Ihrer Mail-Domain in den Testraum einladen. Dafür verarbeiten wir deren E-Mail-Adresse und schicken ihnen einen Anmeldelink; sie sehen dasselbe Firmengedächtnis und teilen sich das Kontingent des Testraums. Grundlage ist das berechtigte Interesse des einladenden Betriebs und unser eigenes, den Test gemeinsam zu nutzen (Artikel 6 Absatz 1 Buchstabe f DSGVO).

• Speicherdauer: 7 Tage Nutzung, danach 14 Tage Aufbewahrung. Vor dem Löschen schicken wir Ihnen Ihre Inhalte als Datei, danach den Löschbeleg per E-Mail. Ausgenommen ist der Nachweis Ihrer Anmeldung und Ihrer Einwilligungen (E-Mail-Adresse, Zeitpunkte, Wortlaut, Widerruf): Ihn bewahren wir auf, um nachweisen zu können, worin Sie eingewilligt haben. Eine feste Löschfrist dafür haben wir noch nicht festgelegt.
• Wir bitten Sie im Testraum ausdrücklich darum, keine besonders schützenswerten Daten einzugeben, also keine Gesundheits-, Bewerbungs- oder Personaldaten.
• Es gibt einen Test je Mail-Domain in 90 Tagen, und die Anmeldung ist auf geschäftliche Adressen beschränkt.

Zum Vorgang gehören diese Mails: die Bestätigung, der Zugang, nach dem dritten Tag ein Hinweis zum Stand Ihres Tests, eine Erinnerung einen Tag vor dem Ablauf und der Hinweis auf den Ablauf. Mit Ihrer Einwilligung in die Begleitung kommen höchstens zwei weitere Mails nach dem Test dazu, einen Tag und fünf Tage nach dem Ablauf, jede mit einem Abmeldelink, der sofort wirkt. Die Einwilligung ist ein eigenes Häkchen und nicht vorangekreuzt.

Die Anmeldung selbst schicken wir außerdem an uns, damit ein Mensch weiß, wer den Testraum ausprobiert.

Rechtsgrundlage für den Testraum ist Artikel 6 Absatz 1 Buchstabe b DSGVO, weil Sie ihn selbst anfordern und wir ihn dafür bereitstellen. Für die Mails zur Begleitung ist es Artikel 6 Absatz 1 Buchstabe a DSGVO, also Ihre Einwilligung; Sie können sie mit einem Klick in jeder dieser Mails widerrufen. Den Wortlaut Ihrer Einwilligung, ihre Fassung, den Zeitpunkt der Bestätigung und einen Widerruf halten wir fest, damit wir nachweisen können, worin Sie eingewilligt haben.

5a. Online-Bestellung und Zahlung

Bestellt ein Unternehmen die Oase, verarbeiten wir Firmenname, Anschrift, die E-Mail-Adresse für Rechnung und Zugang, die gewählte Nutzerzahl und, falls angegeben, die USt-IdNr. Grundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und die steuerrechtliche Aufbewahrung (Art. 6 Abs. 1 lit. c DSGVO).

Die Bestellung nimmt eine Funktion bei unserem Datenbankanbieter, der Supabase Pte. Ltd. mit Sitz in Singapur, an und legt sie in unserer Datenbank in Frankfurt am Main ab. Die Anfrage geht dabei von unserem Server in Nürnberg über das Netz der Cloudflare, Inc. (USA) an Supabase und trägt Ihre IP-Adresse mit sich; die Funktion läuft in der Region, die Supabase nach der Nähe zu unserem Server wählt, nicht zwingend in Frankfurt (am 15. Oktober 2026 gemessen: Paris). Einladung und Rechnung verschicken wir über die IONOS SE. Eine angegebene USt-IdNr. prüfen wir über die Schnittstelle VIES der EU-Kommission.

Bezahlt wird auf der Seite der Stripe Payments Europe Ltd., Dublin, Irland. Stripe erhält dafür diese Angaben und Ihre Zahlungsdaten; Karten- und Kontodaten sehen wir nicht. Für Zahlungsabwicklung und Betrugsprüfung ist Stripe zum Teil selbst verantwortlich. Stripe kann Daten in die USA und nach Indien übermitteln und nennt dafür das EU-US Data Privacy Framework und Standardvertragsklauseln. Das betrifft nur Bestell- und Zahlungsdaten, nie Inhalte Ihrer Oase. Einzelheiten: Datenschutzerklärung von Stripe.

6. Willi im Textchat

Willi ist ein KI-Assistent. Er beantwortet Fragen zur Oase und zu unserem Betrieb. Er sagt das in seinem ersten Satz selbst, wie es Artikel 50 der KI-Verordnung verlangt. Das Chat-Fenster öffnet sich nicht von allein.

Sobald Sie eine Nachricht abschicken, wird sie an unseren eigenen Server in Nürnberg übertragen und dort von n8n verarbeitet. Verarbeitet werden Ihr eingegebener Text, eine zufällige Sitzungskennung und die IP-Adresse der Anfrage. Diese Ausführungsdaten löscht das System nach vierzehn Tagen.

Die Antwort erzeugt Claude Sonnet 4.5, bei gedrosseltem Budget Claude Haiku 4.5, über die EU-Inferenzprofile eu.anthropic.claude-sonnet-4-5 bzw. eu.anthropic.claude-haiku-4-5 der Amazon Web Services EMEA SARL, Luxemburg (Konzernmutter Amazon.com, Inc., USA; Standardvertragsklauseln). Gerechnet wird in AWS-Rechenzentren in Frankfurt, Stockholm, Mailand, Spanien, Irland oder Paris. Der Gesprächstext geht zu diesem Zweck an AWS. Für die Suche in unserem eigenen Wissen geht der Gesprächstext zur Einbettung an die Mistral AI SAS, Paris, mit Verarbeitung in der EU und in EFTA-Staaten, darunter Norwegen und die Schweiz.

Für die Sprachmodelle, die wir über AWS nutzen, speichert Amazon Bedrock Eingaben und Antworten nicht; AWS nennt das Zero-Data-Retention als Standard. Eine Aufbewahrung zur Missbrauchserkennung sieht AWS nur für einzelne, namentlich genannte Modelle vor, die wir nicht einsetzen, und für Bildeingaben bei Verdacht auf Darstellungen sexuellen Kindesmissbrauchs. AWS und die Modellanbieter verwenden Eingaben und Antworten nicht zum Training (Quellen: AWS-Dokumentation „Amazon Bedrock abuse detection“ und „Amazon Bedrock FAQs“, abgerufen am 12. Oktober 2026). Die Aufzeichnung der Ein- und Ausgaben (Model Invocation Logging) ist in unserem Konto ausgeschaltet. Mistral bewahrt Eingaben bis zu 30 Tage zur Missbrauchsüberwachung auf.

Der Assistent hat zwei fest verdrahtete Werkzeuge. Er kann eine E-Mail schicken, deren Absender und Empfänger unveränderlich auf jannik.moser@stratkern.com stehen; nur Betreff und Text kommen vom Modell. Diese E-Mail verschickt die IONOS SE, Montabaur, mit Rechenzentren in Deutschland. Sie kann Inhalte aus Ihrem Gespräch enthalten, auch Kontaktdaten, die Sie Willi nennen, damit wir uns bei Ihnen melden. Rechtsgrundlage dafür ist Artikel 6 Absatz 1 Buchstabe b DSGVO. Und er kann unser eigenes Betriebswissen abfragen, fest begrenzt auf den als extern gekennzeichneten Bestand von Stratkern selbst. Auf Daten unserer Kunden hat er keinen Zugriff.

Das Chat-Fenster legt beim Öffnen eine zufällige Sitzungskennung im lokalen Speicher Ihres Browsers ab, damit Willi im Gespräch den Faden behält. Sie enthält keine Angaben zu Ihrer Person. Solange Sie den Chat nicht öffnen, wird sie nicht gesetzt, und bis dahin geht auch keine Anfrage an unseren Server für den Chat. Schon beim Öffnen fragt das Fenster bei unserem Server an, ob zu dieser Sitzungskennung ein früheres Gespräch vorliegt.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist es, Interessenten ohne Formular Auskunft zu geben. Sie entscheiden selbst, ob und was Sie schreiben.

7. Kein Sprachgespräch

Ein Sprachgespräch mit Willi gibt es auf dieser Website nicht. Es wird kein Mikrofon angesprochen, und es entsteht keine Verbindung zu einem Sprachdienst. Mit Willi schreiben Sie im Textchat; der läuft wie in Abschnitt 6 beschrieben über unseren Server in Nürnberg, über AWS-Rechenzentren in der EU und für die Suche in unserem Wissen über Mistral.

8. Kontaktformular

Das Formular läuft über unseren eigenen Server in Nürnberg. Es ist kein fremder Anbieter beteiligt, weder für die Annahme noch für die Ablage noch für die Abwehr von Spam.

Übertragen werden Name, Firma, Rolle, E-Mail-Adresse, das Anliegen und Ihre Nachricht sowie die Adresse der Seite, von der aus Sie abgeschickt haben. Die Anfrage wird in einer eigenen Datenbank abgelegt, auf die nur dieser eine Vorgang zugreifen darf.

Ihre IP-Adresse wird nicht gespeichert. Damit niemand das Formular flutet, wird sie mit einem Zufallswert zu einem Zählschlüssel verrechnet, der höchstens eine Stunde im Arbeitsspeicher liegt und danach verfällt. Die Adresse selbst wird nirgends abgelegt.

Gegen automatisierte Einsendungen dient außerdem ein für Sie unsichtbares Zusatzfeld sowie eine Grenze von fünf Anfragen je Stunde. Beides läuft auf unserem Server, es wird kein Dienst wie ein Captcha eingebunden.

Anschließend erhalten wir Ihre Anfrage per E-Mail an jannik.moser@stratkern.com, mit Ihrer Adresse als Antwortadresse. Die Weiterleitung an uns läuft über den Mailzugang bei der IONOS SE, Deutschland; dort liegt die Nachricht nach den Regeln unseres Postfachs.

Ihre Anfrage wird sechs Monate nach ihrem Eingang gelöscht. Das erledigt ein täglicher Vorgang auf unserem Server, nicht ein Vorsatz. Führt Ihre Anfrage zu einer Geschäftsbeziehung, gilt für die Unterlagen daraus die gesetzliche Aufbewahrungspflicht; die liegen dann in unserer Buchhaltung und nicht mehr in diesem Formular. Sie können die Löschung jederzeit früher verlangen.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit es um die Anbahnung eines Vertrags geht, und im Übrigen Artikel 6 Absatz 1 Buchstabe f DSGVO mit unserem berechtigten Interesse an der Beantwortung Ihrer Anfrage.

8b. Vorführung unter erleben.stratkern.com

Die Vorführung von Benchmate liegt unter einer eigenen Adresse, erleben.stratkern.com, auf unserem eigenen Server. Sie arbeiten dort ohne Anmeldung in einem Musterbetrieb mit erfundenen Daten. Ihre Eingaben im Musterbetrieb verarbeitet Ihr Browser; sie bleiben dort und werden auf unserem Server nicht abgelegt. Die fünf Vorgänge laufen ohne KI. Freie Fragen an den Assistenten sind nur zeitweise freigeschaltet.

Schreiben Sie dem Assistenten der Vorführung, geht Ihre Eingabe an einen KI-Endpunkt auf unserem Server und von dort an das Sprachmodell, Claude Haiku 4.5 über Amazon Bedrock der Amazon Web Services EMEA SARL, Luxemburg, in einer Region der EU. Der Endpunkt speichert weder Inhalte noch IP-Adressen. Gespeichert wird nur ein Kostenzähler mit Datum und Betrag, der sich auf keine Person bezieht.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO mit unserem berechtigten Interesse, Ihnen unser Produkt an einem Musterbetrieb zu zeigen. Eingaben, die Sie dort machen, bleiben in Ihrem Browser; auf dem Server werden sie nicht abgelegt.

9. E-Mail, Domain und DNS

Domain, Namensauflösung und unsere Postfächer liegen bei der IONOS SE in Deutschland. Wenn Sie uns schreiben oder wir Ihnen antworten, geht die Nachricht über deren Server.

Wie lange eine Nachricht dort liegt, richtet sich nach der Einstellung des Postfachs.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b beziehungsweise Buchstabe f DSGVO, je nachdem, ob die Nachricht einen Vertrag betrifft oder allgemeiner Natur ist.

10. Zwei Punkte, die Besucher nicht betreffen, aber hierher gehören

Für den Namen notify.stratkern.com sind nicht unsere Nameserver zuständig, sondern die des Anbieters Lovable. In dieser abgetrennten Zone steht ein Versandeintrag auf Mailgun, und zwar auf dessen europäische Region. Dorthin entsteht aus dem bloßen Aufruf von stratkern.com keine Verarbeitung. Der Eintrag stammt aus einer früheren Einrichtung und lässt sich nicht einzeln entfernen, ohne die Erreichbarkeit anderer Adressen unter unserer Domain zu gefährden.

Die technischen Sammelberichte darüber, wer im Namen unserer Domain E-Mails versendet, gehen an ein Postfach von Stratkern bei der IONOS SE in Deutschland. Diese Berichte enthalten keine Nachrichteninhalte, sondern absendende Server und Prüfergebnisse.

11. Empfänger und Übermittlung in Drittländer

Eine Übersicht darüber, wer bei welchem Schritt Daten erhält:

Beim bloßen Lesen dieser Website entsteht kein Datenweg außerhalb der Europäischen Union. Öffnen Sie die Seite zum Testraum, fragt unser Server bei Supabase an, ob Anmeldungen aus dem EU-Ausland möglich sind; Ihre IP-Adresse geht dabei nicht mit. Zur Anmeldung zum Testraum und zur Bestellung siehe Ziffer 5 und 5a. Im Gespräch mit Willi und im Testraum geht Text an die Mistral AI SAS, Paris, mit Verarbeitung in der EU und in EFTA-Staaten, darunter Norwegen und die Schweiz; für die Schweiz gilt ein Angemessenheitsbeschluss der EU-Kommission. Die Amazon Web Services EMEA SARL hat ihre Konzernmutter in den USA; abgesichert ist das über die Standardvertragsklauseln der EU-Kommission. Bei der Online-Bestellung kann Stripe Daten in die USA und nach Indien übermitteln (Ziffer 5a).

Supabase. Unser Datenbankanbieter ist die Supabase Pte. Ltd. mit Sitz in Singapur. Die Datenbank mit Ihren Anmelde- und Bestelldaten liegt in einem Rechenzentrum in Frankfurt am Main (AWS-Region eu-central-1). Dort werden die Daten gespeichert und überwiegend verarbeitet. Nach dem Vertrag darf Supabase auch an anderen Standorten verarbeiten, an denen Supabase oder ihre Unterauftragsverarbeiter Einrichtungen unterhalten. Nach eigener Angabe verarbeitet Supabase außerhalb der gewählten Region Kontodaten, Betriebs- und Messdaten, Daten für die Auslieferung über ein weltweites Netz und Daten im Supportfall; das Supportteam ist weltweit verteilt. Support und Betrieb leistet auch die Supabase, Inc., Delaware (USA). Ein Zugriff aus Singapur oder den USA ist damit nicht technisch ausgeschlossen; er ist eine Übermittlung in ein Drittland. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission. Wir stützen die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Artikel 46 Absatz 2 Buchstabe c DSGVO), und zwar auf Modul 2 (Verantwortlicher an Auftragsverarbeiter). Sie sind in den Vertrag zur Auftragsverarbeitung mit Supabase einbezogen (Data Processing Addendum, Fassung vom 1. August 2026); dieser ist Teil der Nutzungsbedingungen von Supabase, mit deren Annahme die Klauseln nach dem Vertrag als unterzeichnet gelten. Das Addendum nennt die Supabase Pte. Ltd. als Datenimporteur; die Bewertung der Übermittlung (Transfer Impact Assessment) von Supabase vom März 2025 nennt die Supabase, Inc. Supabase setzt eigene Unterauftragsverarbeiter ein; die Liste vom 12. Oktober 2026 nennt 22 Unternehmen, 20 davon mit Sitz in den USA, darunter für das Hosting Amazon Web Services, Google und Cloudflare und für die Fehlerüberwachung Sentry. Die Liste nennt Sitzstaat und Zweck, nicht den Verarbeitungsort, und nicht jedes dieser Unternehmen erhält Inhalte. Sie ist abrufbar unter https://supabase.com/legal/subprocessors.

Eine Kopie der Standardvertragsklauseln samt der ausgefüllten Anlage schicken wir Ihnen auf Anfrage; schreiben Sie dazu an jannik.moser@stratkern.com.

Mit Hetzner und IONOS haben wir Verträge zur Auftragsverarbeitung gesondert abgeschlossen; bei AWS, Mistral und Supabase sind sie Teil der Vertragsbedingungen.

12. Wie lange wir speichern

Gesetzliche Aufbewahrungspflichten aus dem Handels- und Steuerrecht gehen dem vor. Solange eine solche Pflicht besteht, wird die Verarbeitung eingeschränkt statt gelöscht.

13. Ihre Rechte

Sie haben nach der Datenschutz-Grundverordnung das Recht:

• Auskunft darüber zu verlangen, welche Daten wir zu Ihnen verarbeiten (Artikel 15)
• unrichtige Daten berichtigen zu lassen (Artikel 16)
• die Löschung zu verlangen (Artikel 17)
• die Verarbeitung einschränken zu lassen (Artikel 18)
• Ihre Daten in einem übertragbaren Format zu erhalten (Artikel 20)
• der Verarbeitung zu widersprechen, soweit wir sie auf ein berechtigtes Interesse stützen (Artikel 21)
• eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Artikel 7 Absatz 3)

Eine formlose E-Mail an jannik.moser@stratkern.com genügt. Es entstehen Ihnen dadurch keine Kosten.

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Ohne E-Mail-Adresse können wir eine Anfrage nicht beantworten, keinen Testraum anlegen und keine Bestellung annehmen.

Widerspruchsrecht (Artikel 21 DSGVO)

Soweit wir eine Verarbeitung auf ein berechtigtes Interesse stützen (Artikel 6 Absatz 1 Buchstabe f DSGVO), können Sie ihr jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Bei einem Widerspruch nach Artikel 21 verarbeiten wir die betroffenen Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine formlose E-Mail an jannik.moser@stratkern.com genügt.

14. Beschwerde bei einer Aufsichtsbehörde

Sie können sich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn Sie meinen, dass wir gegen Datenschutzrecht verstoßen. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Die Kontaktdaten der Behörde finden Sie auf deren Website. Sie können sich ebenso an die Aufsichtsbehörde Ihres Wohnorts oder Ihres Arbeitsplatzes wenden.

15. Kein Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt. Nach unserer Einschätzung besteht dazu bei Art und Umfang unserer Verarbeitung keine gesetzliche Pflicht. Ändert sich das, holen wir es nach.

16. Keine automatisierte Entscheidung über Ihre Person

Willi ist ein Assistent und beantwortet Fragen. Er trifft keine Entscheidung über Sie, er bewertet Sie nicht, und es entsteht kein Profil. Was Sie ihn fragen, wird nicht ausgewertet, um Sie einzuordnen.

17. Änderungen

Wir passen diese Erklärung an, wenn sich an der Technik oder an den beteiligten Anbietern etwas ändert. Es gilt die hier veröffentlichte Fassung. Das Datum am Anfang sagt Ihnen, wie alt sie ist.