DATENSCHUTZ­ERKLÄRUNG

1. Überblick

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website www.mad-mirror-studios.com besuchen, uns kontaktieren, einen Call buchen oder den Business Check-up nutzen: zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen die Daten gehen, wie lange wir sie speichern und welche Rechte Sie haben.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO), etwa Ihr Name, Ihre E-Mail-Adresse oder Ihre IP-Adresse. Wir verarbeiten sie nach der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

2. Verantwortlicher

MAD MIRROR STUDIOS GbR, vertreten durch die Gesellschafter Marlon Baum und Melvin Baum
Zentgrafenstraße 93, 34130 Kassel, Deutschland
E-Mail: hello@mad-mirror-studios.com
Telefon: +49 176 416 316 47

Einen Datenschutzbeauftragten müssen wir nicht benennen (Art. 37 DSGVO, § 38 BDSG). Fragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

3. Hosting und Server-Logfiles

Diese Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Bei jedem Seitenaufruf übermittelt Ihr Browser automatisch technische Daten, die in Server-Logfiles verarbeitet werden: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer sowie Browser und Betriebssystem.

Wir benötigen diese Daten, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Webangebot. Die Logdaten werden nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und nicht mit anderen Datenquellen zusammengeführt.

Vercel ist unser Auftragsverarbeiter (Art. 28 DSGVO) und liefert die Website über ein weltweites Servernetz aus. Dabei können Daten in die USA übermittelt werden; Vercel ist nach dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln (siehe Abschnitt 17).

4. Schriften, Inhalte und unser Backend

Schriften liefern wir von unserem eigenen Server aus. Eine Verbindung zu Google Fonts oder anderen Schriftanbietern findet nicht statt.

Projektseiten, Bilder und die Funktionen der Website (Formulare, Buchung, Business Check-up) laufen über unser Backend bei Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, mit Rechenzentrum in Frankfurt am Main. Ruft Ihr Browser dort Inhalte ab, wird Ihre IP-Adresse technisch bedingt an Supabase übermittelt. Rechtsgrundlage für die Auslieferung ist Art. 6 Abs. 1 lit. f DSGVO; für Ihre Anfragen gelten die Rechtsgrundlagen der folgenden Abschnitte.

Supabase ist unser Auftragsverarbeiter. Die Daten liegen in Frankfurt am Main; soweit Supabase oder seine Unterauftragsverarbeiter für Betrieb, Wartung und Support aus Singapur, den USA oder anderen Drittländern darauf zugreifen können, stützt sich das auf die EU-Standardvertragsklauseln, die Teil unseres Vertrags mit Supabase sind.

5. Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (etwa Name, Kontaktdaten und Inhalt Ihrer Nachricht), um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag mit uns zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung von Anfragen.

Unsere E-Mail-Postfächer, Kalender und Videocalls betreiben wir mit Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Auftragsverarbeiter. Eine Übermittlung an die Google LLC in den USA stützt sich auf das EU-U.S. Data Privacy Framework.

6. Kontaktformular, Projekt-Konfigurator und Rückrufwunsch

Wenn Sie uns über die Website schreiben, eine Konfiguration absenden oder um einen Rückruf bitten, verarbeiten wir Ihre Angaben: Name, E-Mail-Adresse, optional Unternehmen und Telefonnummer, Ihre Nachricht, Ihre Antworten im Konfigurator und Ihre Wunschzeiten für einen Rückruf. Dazu kommen die Sprache, das Thema der Anfrage und gegebenenfalls der Bezug zu einer Leistungsseite oder einem Business Check-up. Wir nutzen diese Daten, um Ihre Anfrage zu bearbeiten, ein Angebot oder Gespräch vorzubereiten und bei Bedarf nachzufassen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage). Für das Nachfassen und für das Zusammenführen mehrerer Anfragen mit derselben E-Mail-Adresse stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine vollständige und effiziente Bearbeitung.

Ihre Anfrage speichern wir als Kontakt in unserer eigenen Kundenverwaltung (Supabase, Rechenzentrum Frankfurt am Main). Die Benachrichtigung an uns und die Bestätigung an Sie versenden wir über den E-Mail-Dienst Resend (Resend, Inc., USA) als Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je Verbindung. Dafür wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher verarbeitet und nicht gespeichert. Damit unsere Bestätigungsmails nicht für Nachrichten an fremde Adressen missbraucht werden können, zählen wir sie außerdem je Empfängeradresse und Tag über einen Hashwert der Adresse (nicht die Adresse selbst), den wir nach höchstens 49 Stunden löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Außerdem schützen wir alle Formulare dieser Website (Kontaktformular, Projekt-Konfigurator, Rückrufwunsch, Call-Buchung mit Verschieben und Absagen, Business Check-up, Website-Check mit Fix-Anfrage) mit Cloudflare Turnstile vor Spam und automatisierten Anfragen. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile wird erst geladen, wenn Sie ein Formular benutzen, etwa in ein Feld klicken; solange Sie die Website nur lesen, wird keine Verbindung zu Cloudflare aufgebaut. Dann lädt Ihr Browser ein Skript von challenges.cloudflare.com, das prüft, ob ein Mensch das Formular bedient. Dabei erhält Cloudflare Ihre IP-Adresse, technische Merkmale Ihres Browsers und Ihrer Verbindung (etwa die Browserkennung und Merkmale der verschlüsselten Verbindung) und die Adresse der Website, auf der das Formular steht; Cloudflare kann dafür Informationen in Ihrem Browser speichern und auslesen. Meist bemerken Sie davon nichts, nur im Zweifel erscheint ein Kästchen zum Anklicken. Das Ergebnis ist ein einmal gültiger Prüfwert, den Ihr Browser mit dem Formular an unseren Server schickt. Unser Server lässt ihn von Cloudflare bestätigen und übermittelt dabei Ihre IP-Adresse; den Prüfwert und das Ergebnis speichern wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz unserer Formulare, unseres Postfachs und unserer Dienste vor Missbrauch und automatisierten Angriffen. Das Speichern und Auslesen von Informationen in Ihrem Browser ist unbedingt erforderlich, damit wir das Formular, das Sie nutzen, sicher bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG). Für die Prüfung ist Cloudflare unser Auftragsverarbeiter (Art. 28 DSGVO). Nach eigenen Angaben nutzt Cloudflare die Merkmale außerdem in eigener Verantwortung, um seine Bot-Erkennung zu verbessern, nicht aber, um Personen zu identifizieren, Profile zu bilden oder Werbung zu zeigen. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert (siehe Abschnitt 17). Mehr dazu unter https://www.cloudflare.com/turnstile-privacy-policy/ und https://www.cloudflare.com/privacypolicy/. Möchten Sie Turnstile nicht nutzen, schreiben Sie uns einfach an hello@mad-mirror-studios.com.

Den Zwischenstand im Konfigurator merkt sich Ihr Browser, bis Sie den Tab schließen (siehe Abschnitt 13). An uns übermittelt wird er erst, wenn Sie die Anfrage absenden.

7. Call-Buchung und Videocalls

Buchen Sie einen Call zu einem freien Termin, verarbeiten wir Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und Unternehmen, Thema, Notizen und den gewählten Termin. Wir legen den Termin in unserem Google-Kalender an; die Einladung, bei einem Videocall mit Google-Meet-Link, verschickt Google an Ihre E-Mail-Adresse. Die Buchungsbestätigung und am Tag vor dem Termin eine Erinnerung senden wir per E-Mail über Resend.

Mit der Bestätigung erhalten Sie einen persönlichen Link, über den Sie den Termin verschieben oder absagen können. Wer diesen Link kennt, kann den Termin verwalten; geben Sie ihn deshalb nicht weiter.

Nehmen Sie an einem Videocall über Google Meet teil, verarbeitet Google die für die Verbindung nötigen Daten, etwa IP-Adresse, Geräteinformationen, Ihren angezeigten Namen sowie Bild und Ton während des Gesprächs. Wir zeichnen Calls nicht ohne Ihre ausdrückliche vorherige Einwilligung auf.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Google ist unser Auftragsverarbeiter; eine Übermittlung an die Google LLC in den USA stützt sich auf das EU-U.S. Data Privacy Framework.

Das Buchen, Verschieben und Absagen schützen wir mit Cloudflare Turnstile vor Spam (siehe Abschnitt 6).

8. Business Check-up und Website-Check

Im Business Check-up verarbeiten wir die von Ihnen eingegebene Website-Adresse und, wenn Sie sie angeben, Ihr Ziel sowie Ihre Instagram- und LinkedIn-Profile. Unser Server ruft die öffentlich zugängliche Website und diese Profile ab, misst die Ladezeit über die PageSpeed-Insights-Schnittstelle von Google (Google Ireland Limited) und lässt die gefundenen Informationen vom KI-Modell Claude der Anthropic Ireland, Limited auswerten. Dabei können Daten an die Anthropic PBC in den USA übermittelt werden; das stützt sich auf die EU-Standardvertragsklauseln. Nach den vertraglichen Bedingungen nutzt Anthropic diese Daten nicht zum Training seiner Modelle. An Google und Anthropic gehen nur die Adressen und die öffentlich gefundenen Inhalte, nicht Ihre IP-Adresse.

Das Ergebnis speichern wir unter einer zufälligen Kennung in unserer Kundenverwaltung (Supabase, Frankfurt am Main), damit der Link zu Ihrem Check-up funktioniert. Wer diesen Link kennt, kann das Ergebnis abrufen. Prüft innerhalb von sieben Tagen jemand dieselbe Website mit demselben Ziel und in derselben Sprache, zeigen wir ihm dasselbe Ergebnis, statt die Website erneut abzurufen.

Zum Schutz vor Missbrauch speichern wir einen gesalzenen Hashwert Ihrer IP-Adresse (nicht die Adresse selbst), mit dem wir die Zahl der Check-ups pro Tag begrenzen, und löschen ihn nach 48 Stunden.

Außerdem schützen wir den Check-up mit Cloudflare Turnstile vor automatisierten Anfragen (siehe Abschnitt 6).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des von Ihnen angeforderten Check-ups), für den Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO. Die Auswertung erfolgt automatisiert, führt aber zu keiner Entscheidung mit rechtlicher Wirkung für Sie (siehe Abschnitt 20).

Enthalten die geprüfte Website oder die angegebenen Profile personenbezogene Daten Dritter, etwa des Betreibers, verarbeiten wir sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine Einschätzung aus öffentlich zugänglichen Informationen auf Anfrage. Betroffene können widersprechen; wir löschen den Check-up dann.

Für den Website-Check gilt dasselbe, mit diesen Unterschieden: Er verarbeitet nur die eingegebene Website-Adresse. Unser Server ruft die öffentliche Startseite, die Dateien robots.txt, llms.txt und sitemap.xml sowie bis zu zwölf verlinkte Seiten derselben Website ab. Er prüft außerdem, wie die Website unter http und mit oder ohne „www“ antwortet und wie ihre Fehlerseite aussieht (über eine nicht vorhandene Adresse); weist die Website unseren Prüfer ab, ruft er die Startseite noch einmal mit der Kennung eines gewöhnlichen Browsers ab. Die Startseite misst er über die PageSpeed-Insights-Schnittstelle von Google und schickt Claude neben den gefundenen Informationen ein Bildschirmfoto der mobilen Startseite, das diese Schnittstelle liefert. Prüft innerhalb von 24 Stunden jemand dieselbe Website in derselben Sprache, zeigen wir ihm dasselbe Ergebnis. Die Zahl der Website-Checks pro Tag begrenzen wir über einen gesalzenen Hashwert Ihrer IP-Adresse, den wir nach spätestens 48 Stunden löschen.

Fragen Sie im Website-Check Fixes an, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, optional Unternehmen, Telefonnummer und Nachricht sowie die gewählten Fixes und das Ergebnis des Checks wie eine Anfrage über das Kontaktformular (siehe Abschnitt 6).

Für die MAD MIRROR Awards rufen wir die öffentlich zugänglichen Websites ausgewählter Betriebe ab und bewerten sie nach unserer auf dieser Website veröffentlichten Methodik. Veröffentlicht werden der Name des Betriebs, seine Website und die Ergebnisse. Soweit das personenbezogene Daten sind, etwa bei Einzelunternehmen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein nachvollziehbarer Vergleich öffentlich zugänglicher Websites. Betroffene können der Aufnahme widersprechen oder eine Korrektur verlangen, formlos an hello@mad-mirror-studios.com.

9. Bilder und Videos der Projektseiten

Die Bilder und Videos unserer Projekte liegen auf unserem eigenen Speicher (Supabase, Frankfurt am Main) oder werden mit der Website ausgeliefert. Einzelne Videos werden direkt aus Dropbox geladen (Dropbox International Unlimited Company, One Park Place, Hatch Street Upper, Dublin 2, Irland). Öffnen Sie eine Projektseite mit einem solchen Video, lädt Ihr Browser es von Servern von Dropbox; dabei wird Ihre IP-Adresse an Dropbox übermittelt, gegebenenfalls auch in die USA.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, unsere Arbeit in guter Qualität zu zeigen. Eine Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework beziehungsweise die EU-Standardvertragsklauseln.

10. Videos von YouTube und Vimeo

Auf einzelnen Seiten, etwa auf Projektseiten, zeigen wir Videos, die bei YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) oder Vimeo (Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, USA) liegen. Bis Sie auf Abspielen klicken, sehen Sie nur ein Vorschaubild von unserem eigenen Server; es wird keine Verbindung zu YouTube, Google oder Vimeo aufgebaut.

Erst mit Ihrem Klick laden wir den Player, bei YouTube im erweiterten Datenschutzmodus (youtube-nocookie.com), bei Vimeo mit aktivierter Do-Not-Track-Einstellung. Dabei werden Daten wie Ihre IP-Adresse, Geräte- und Browserinformationen und die Seite, auf der das Video läuft, an den jeweiligen Anbieter übertragen, auch in die USA. Die Anbieter können dabei Cookies oder ähnliche Technologien einsetzen.

Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework. Mehr dazu in den Datenschutzerklärungen von Google (https://policies.google.com/privacy) und Vimeo (https://vimeo.com/privacy).

11. Instagram-Feeds

Auf Projektseiten zu Social Media können wir den öffentlichen Instagram-Feed des jeweiligen Kunden zeigen. Instagram wird betrieben von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Bis Sie zustimmen, wird keine Verbindung zu Instagram oder Meta aufgebaut.

Der Feed lädt von instagram.com, sobald Sie im Cookie-Banner „Externe Medien“ erlauben oder unter dem Feed auf „Feed laden“ klicken; diese Wahl gilt dann für alle Feeds auf dieser Website. Dabei werden Daten wie Ihre IP-Adresse, Geräte- und Browserinformationen und die Seite, auf der der Feed erscheint, an Meta übertragen, auch in die USA. Sind Sie bei Instagram angemeldet, kann Meta den Besuch Ihrem Konto zuordnen. Meta kann dabei Cookies oder ähnliche Technologien einsetzen.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen“ im Footer widerrufen können. Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework. Für das Laden des Feeds und die Übermittlung der Daten an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu stellt Meta unter https://www.facebook.com/legal/controller_addendum bereit. Für die weitere Verarbeitung ist allein Meta verantwortlich, siehe die Datenschutzrichtlinie von Instagram (https://privacycenter.instagram.com/policy).

12. Google Analytics

Wenn Sie im Cookie-Banner der Kategorie „Statistik“ zustimmen, nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics zeigt uns, welche Seiten wie lange besucht werden und über welche Wege Besucher zu uns kommen. Dafür setzt Google Cookies (_ga und _ga_<Kennung>, Speicherdauer bis zu zwei Jahre) und verarbeitet Daten wie Ihre IP-Adresse, Geräte- und Browserinformationen, die aufgerufenen Seiten und die Seite, von der Sie kommen. Vollständige IP-Adressen speichert Google Analytics 4 nicht. Funktionen für Werbung und Personalisierung nutzen wir nicht. Daten auf Nutzer- und Ereignisebene löscht Google spätestens nach 14 Monaten; danach bleiben nur zusammengefasste Statistiken ohne Personenbezug.

Bevor Sie zustimmen, wird Google Analytics nicht geladen und keine Verbindung zu Google aufgebaut. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen“ im Footer widerrufen können; dabei löschen wir die Analytics-Cookies. Google ist unser Auftragsverarbeiter; eine Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework. Mehr dazu in der Datenschutzerklärung von Google (https://policies.google.com/privacy).

13. Cookies und Speicher im Browser

Ohne Ihre Einwilligung setzen wir keine Cookies. Damit die Website funktioniert, legt sie einige Angaben im Speicher Ihres Browsers ab (Local Storage und Session Storage). Diese Angaben bleiben auf Ihrem Gerät:

• mms-consent (Local Storage): Ihre Auswahl im Cookie-Banner. Nach zwölf Monaten fragen wir erneut.
• mms-lang (Local Storage): die Sprache, die Sie gewählt haben, bis Sie den Speicher Ihres Browsers löschen.
• mms-configurator-draft (Session Storage): Ihr Zwischenstand im Projekt-Konfigurator, bis Sie den Tab schließen oder die Anfrage absenden.
• mms-checkup-handoff (Session Storage): die geprüfte Website-Adresse, wenn Sie vom Business Check-up zum Kontaktformular wechseln; sie wird dort einmal gelesen und dann gelöscht.
• mms-contact-prefill (Session Storage): Name, E-Mail-Adresse und Unternehmen aus Ihrer gesendeten Nachricht, damit Sie sie bei einer anschließenden Call-Anfrage nicht erneut eingeben müssen; bis Sie einen Call anfragen oder den Tab schließen.
• mms-chunk-reload (Session Storage): ein Merker, dass die Seite nach einem Update der Website einmal neu geladen wurde, bis Sie den Tab schließen.
• mms-scroll (Session Storage): die Scroll-Position der zuletzt besuchten Seiten, damit „Zurück“ Sie an dieselbe Stelle bringt, bis Sie den Tab schließen.
• mms-ref (Session Storage): die Adresse der Seite, von der Sie kamen, wenn wir Sie beim ersten Aufruf auf die Sprachversion Ihres Geräts weiterleiten. Nur mit Ihrer Einwilligung in die Statistik geht sie einmal an Google Analytics und wird dann gelöscht, sonst bleibt sie, bis Sie den Tab schließen.
• mm-audit-guess:<Kennung> (Session Storage): Ihre Schätzung im Website-Check, bevor das Ergebnis erscheint, bis Sie den Tab schließen.

Diese Speicherungen sind unbedingt erforderlich, damit wir den von Ihnen gewünschten Dienst bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO.

Benutzen Sie ein Formular, kann Cloudflare Turnstile zum Schutz vor Spam außerdem Informationen in Ihrem Browser speichern und auslesen, etwa im eingebetteten Prüffenster von challenges.cloudflare.com (siehe Abschnitt 6). Das dient allein dem Schutz des Formulars, das Sie nutzen, und ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Abgesehen von dieser Prüfung entstehen Cookies von Drittanbietern nur mit Ihrer Einwilligung: durch Google Analytics (Kategorie „Statistik“), durch Instagram (Kategorie „Externe Medien“) und durch YouTube oder Vimeo, wenn Sie ein Video abspielen. Werbe-Cookies setzen wir nicht ein. Ihre Einwilligungen können Sie jederzeit über „Cookie-Einstellungen“ im Footer ändern oder mit Wirkung für die Zukunft widerrufen.

14. Unsere Profile in sozialen Netzwerken

Wir sind mit eigenen Profilen auf Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland) und LinkedIn (LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland) vertreten. Die Links auf unserer Website sind einfache Verweise; Daten an die Plattformen fließen erst, wenn Sie einen Link anklicken.

Besuchen Sie unsere Profile, verarbeiten die Plattformen Ihre Daten nach ihren eigenen Datenschutzbestimmungen, auch in den USA. Soweit die Plattformen uns Statistiken über die Nutzung unserer Profile bereitstellen, sind wir mit ihnen für deren Erstellung gemeinsam verantwortlich (Art. 26 DSGVO); Informationen dazu gibt es bei LinkedIn unter https://legal.linkedin.com/pages-joint-controller-addendum (LinkedIn zeigt die Seite derzeit nur nach Anmeldung) und bei Meta unter https://www.facebook.com/legal/terms/page_controller_addendum. Schreiben Sie uns dort, verarbeiten wir Ihre Nachricht, um sie zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, unsere Arbeit zu zeigen und mit Interessenten zu kommunizieren. Ihre Rechte können Sie uns gegenüber und unmittelbar bei der jeweiligen Plattform geltend machen, die direkten Zugriff auf Ihre Daten hat.

15. Kunden und Geschäftspartner

Wenn Sie uns beauftragen, verarbeiten wir die für Angebot, Durchführung und Abrechnung erforderlichen Daten Ihrer Ansprechpartner, etwa Name, Funktion, Kontaktdaten, Kommunikation und Rechnungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Geschäftsunterlagen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.

Soweit erforderlich, geben wir Daten an Steuerberater, Banken und Zahlungsdienstleister sowie an Freelancer und Dienstleister weiter, die wir für Ihr Projekt einsetzen. Verarbeiten wir im Rahmen eines Projekts personenbezogene Daten in Ihrem Auftrag, schließen wir dafür einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

16. Empfänger im Überblick

Diese Dienstleister erhalten Daten von uns oder von Ihrem Browser, jeweils nur im beschriebenen Umfang:

• Vercel Inc., USA: Hosting der Website.
• Supabase Pte. Ltd., Singapur, Rechenzentrum Frankfurt am Main: Backend, Kundenverwaltung und Medienspeicher.
• Resend, Inc., USA: Versand von Bestätigungen und Erinnerungen per E-Mail.
• Cloudflare, Inc., USA: Schutz der Formulare vor Spam (Cloudflare Turnstile), erst wenn Sie ein Formular benutzen.
• Google Ireland Limited, Irland, und Google LLC, USA: Google Workspace (E-Mail, Kalender, Meet), PageSpeed Insights im Business Check-up und im Website-Check, Google Analytics nur mit Ihrer Einwilligung, YouTube nur nach Ihrem Klick.
• Anthropic Ireland, Limited, Irland, und Anthropic PBC, USA: KI-Auswertung im Business Check-up und im Website-Check.
• Dropbox International Unlimited Company, Irland: Auslieferung einzelner Projektvideos.
• Vimeo.com, Inc., USA: Videos, nur nach Ihrem Klick.
• Meta Platforms Ireland Limited, Irland: Instagram-Feeds, nur mit Ihrer Einwilligung.

Darüber hinaus geben wir Daten nur weiter, wenn Sie eingewilligt haben, es zur Erfüllung eines Vertrags nötig ist oder wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine Daten.

17. Übermittlung in Drittländer

Einige der genannten Anbieter sitzen außerhalb der EU, etwa in den USA oder in Singapur, oder können Daten dorthin übermitteln. Für Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Wo kein solcher Beschluss greift, vereinbaren wir mit dem Anbieter die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie dieser Garantien erhalten Sie auf Anfrage.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Pflichten es verlangen:

• Anfragen, Konfigurationen, Rückrufwünsche, Buchungen und Check-ups: 24 Monate nach dem letzten Kontakt beziehungsweise nach dem Termin. Danach löschen wir die Daten oder anonymisieren sie so, dass sie keiner Person mehr zugeordnet werden können. Kopien Ihrer Anfrage in unserem E-Mail-Postfach und Termine in unserem Kalender löschen wir nach derselben Frist, soweit sie nicht als Handels- oder Geschäftsbriefe aufzubewahren sind. Ist aus der Anfrage ein Auftrag entstanden, gilt die Speicherdauer für Kunden.
• Hashwerte von IP- und E-Mail-Adressen: höchstens 49 Stunden.
• Server-Logfiles: so lange, wie es für Betrieb und Sicherheit nötig ist (siehe Abschnitt 3).
• Google Analytics: Daten auf Nutzer- und Ereignisebene höchstens 14 Monate.
• Speicher im Browser: siehe Abschnitt 13.
• Vertrags- und Abrechnungsunterlagen: sechs, acht oder zehn Jahre nach den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO).

Widerrufen Sie eine Einwilligung oder widersprechen Sie einer Verarbeitung, löschen wir die betroffenen Daten, soweit keine gesetzliche Pflicht und kein anderer Rechtsgrund entgegensteht.

19. Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die als Pflichtfeld gekennzeichneten Angaben können wir Ihre Anfrage oder Buchung jedoch nicht bearbeiten. Für den Besuch der Website ist die Verarbeitung der Verbindungsdaten technisch erforderlich.

20. Keine automatisierte Entscheidungsfindung

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Der Business Check-up erstellt automatisiert eine Einschätzung Ihrer Website; über eine Zusammenarbeit entscheiden wir als Menschen.

21. Ihre Rechte

Ihnen stehen gegenüber uns folgende Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche Daten wir über Sie verarbeiten.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine Pflicht zur Aufbewahrung besteht.
• Einschränkung (Art. 18 DSGVO): Sie können unter den gesetzlichen Voraussetzungen verlangen, dass wir die Verarbeitung einschränken.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Daten, die Sie uns bereitgestellt haben, in einem gängigen maschinenlesbaren Format erhalten oder an einen anderen Verantwortlichen übermitteln lassen.
• Widerruf (Art. 7 Abs. 3 DSGVO): Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.
• Widerspruch (Art. 21 DSGVO): siehe den folgenden Hinweis.

Eine formlose Nachricht an hello@mad-mirror-studios.com genügt.

22. Beschwerderecht

Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Wilhelmstraße 7, 65185 Wiesbaden, Deutschland
Telefon: +49 611 1408 0
E-Mail: poststelle@datenschutz.hessen.de

23. Verschlüsselung

Wir übertragen die Website und alle Formulare verschlüsselt (TLS). Sie erkennen das daran, dass die Adresse in Ihrem Browser mit https beginnt.

24. Änderungen

Diese Datenschutzerklärung gilt ab dem 21. Oktober 2026 und ersetzt alle früheren Fassungen. Wir passen sie an, wenn sich die Website, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie auf dieser Seite.