Datenschutz.

01Wer verantwortlich ist

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO):

Marvin Linxweiler, Einzelunternehmer, Geschäftsbezeichnung staaff
Yorckstraße 5, 58097 Hagen, Deutschland
E-Mail: hallo@staaff.ai

02Fragen zum Datenschutz

Fragen zum Datenschutz gehen an hallo@staaff.ai. Dort liest sie ein echter Mensch.

03Wenn du diese Seite besuchst

Damit die Seite bei dir ankommt, muss dein Browser mit einem Server reden. Dabei fallen technische Verbindungsdaten an: deine IP-Adresse, der Zeitpunkt, die aufgerufene Adresse, die Seite, von der du kommst, und die Kennung deines Browsers. Ohne IP-Adresse wüsste das Internet schlicht nicht, wohin mit der Seite.

Die Seite läuft bei Lovable (Lovable Labs Incorporated, 1 Lincoln Street, Boston, MA 02111, USA) und wird über das Netz von Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) ausgeliefert, das Lovable dafür einsetzt. Beide verarbeiten diese Daten in unserem Auftrag (Art. 28 DSGVO), damit die Seite schnell, stabil und sicher läuft. Cloudflare filtert dabei auch automatisierte Zugriffe heraus, damit Bots die Seite nicht lahmlegen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine Website, die zuverlässig und sicher funktioniert. Zur Übermittlung in die USA siehe Abschnitt 15.

Hast du Tag oder Nacht nicht selbst gewählt, rechnet unser Server aus, ob die Sonne schon untergegangen ist, und liefert dir die Seite passend hell oder dunkel aus. Womit er rechnet, auf welcher Rechtsgrundlage und was dabei nicht passiert, steht in Abschnitt 7.

04Was in deinem Browser landet

Kurze Inventur, damit du nicht suchen musst. Auf deinem Gerät speichert diese Seite höchstens:

• staaff-modus (Cookie und lokaler Speicher, von uns): merkt sich Tag oder Nacht, aber nur, wenn du den Schalter benutzt. Hält ein Jahr ab deinem letzten Besuch. Mehr dazu in Abschnitt 7.
• __cf_bm (Cookie, von Cloudflare): hilft, Bots von Menschen zu unterscheiden. Hält 30 Minuten, der Inhalt ist verschlüsselt und nur für Cloudflare lesbar.
• __dpl (Cookie, von Lovable): enthält die Kennung der Fassung der Website, die dein Browser gerade bekommt, damit alle Teile einer Seite zusammenpassen. Hält 24 Stunden.
• tsr-scroll-restoration-v1_3 (Sitzungsspeicher des Browsers, von uns): merkt sich, wie weit du gescrollt hast, damit du beim Zurückblättern wieder an derselben Stelle landest. Verschwindet, wenn du den Tab schließt.
• staaff-demo (Sitzungsspeicher des Browsers, von uns): Minimierst du das Demo-Fenster, merkt sich dein Browser das, damit es auf der nächsten Seite unten abgelegt bleibt. Drin steht ein Wort: „klein“. Es geht weder an uns noch an Dritte und verschwindet, wenn du den Tab schließt.

Diese fünf brauchen keine Einwilligung, weil sie unbedingt erforderlich sind, damit die Seite so funktioniert, wie du sie gerade benutzt (§ 25 Abs. 2 Nr. 2 TDDDG). Soweit dabei personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse: eine sichere Seite, die sich an deine Einstellung erinnert.

Werbe-Cookies, Pixel oder Tracker von Werbenetzwerken gibt es hier nicht. Wir haben nachgesehen. Einzige Ausnahme von „nur wir, Lovable und Cloudflare“: Öffnest du den Kalender, um eine Demo zu buchen, lädt cal.com sein Fenster und kann darin eigene Einträge in deinem Browser ablegen (Abschnitt 8).

Trägst du dich für den Newsletter ein, legt die Seite dafür nichts in deinem Browser ab. Nur wenn die Abo-Karte als normales Formular zu Kit geht, kann Kit auf seiner eigenen Seite Cookies setzen, etwa __cf_bm (Abschnitt 10).

05Besucherstatistik

Wir wollen wissen, welche Seiten gelesen werden und woher die Besuche kommen, aber nicht, wer du bist. Dafür nutzen wir Umami Cloud (Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, CA, USA).

Rufst du eine Seite auf, lädt dein Browser ein kleines Skript von cloud.umami.is und schickt die Angaben an gateway.umami.is, beides Adressen von Umami. Das Skript setzt keine Cookies und legt nichts im lokalen Speicher deines Browsers ab. An Umami geht: die vollständige aufgerufene Adresse samt Zusätzen wie utm_source=linkedin, die Seite, von der du kommst, der Seitentitel, die Sprache deines Browsers und die Größe deines Bildschirms. Dazu zählen wir ein paar Handgriffe: ob das Demo-Fenster geöffnet und ein Termin gebucht wurde (jeweils mit der Seite, auf der das passiert ist), ob der Bon gedruckt und die Mail an den CFO vorbereitet wurde, ob jemand vom Bon, vom Dienstplan oder aus Lenas Akte zu den Ergebnissen weiterklickt und ob jemand auf der Startseite eine Sternschnuppe fängt. Stürzt das Büro auf der Mitarbeiterseite ab, meldet das Skript auch das, damit wir es reparieren können. Seit dem 16.9.2026 misst das Skript außerdem, wie schnell die Seite bei dir lädt, wie flott sie auf Klicks reagiert und ob beim Laden etwas verrutscht (die sogenannten Web Vitals). Umami speichert diese Messwerte zusammen mit deinem Besuch, genau wie die Seitenaufrufe.

Wie bei jeder Verbindung sieht Umami deine IP-Adresse und die Kennung deines Browsers. Daraus leitet Umami Browser, Betriebssystem, Geräteart sowie Land, Region und Stadt ab. Nach eigener Angabe speichert Umami nichts, was dich persönlich erkennbar macht, und verfolgt niemanden über mehrere Websites hinweg. Wir sehen zusammengezählte Werte, etwa wie viele Besuche diese Woche von LinkedIn kamen, und keine Namen.

Umami verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO). Der Vertrag zur Auftragsverarbeitung von Umami gilt mit der Nutzung des Kontos.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine Seite, die wir anhand echter Zahlen besser machen, ohne dir hinterherzulaufen. Zur Übermittlung in die USA siehe Abschnitt 15.

Speicherdauer: Umami hebt die Zahlen in unserem Tarif sechs Monate auf, danach sind sie weg. Wie viele Leute im Frühjahr auf den Bon geklickt haben, interessiert uns im Herbst ohnehin nicht mehr.

Willst du nicht mitgezählt werden: Viele Werbeblocker halten das Skript auf, und die Seite funktioniert genauso.

06Schriften aus eigener Küche

Alle Schriften liegen auf demselben Server wie die Seite. Beim Laden geht keine Anfrage an Google Fonts oder andere Schriftanbieter raus. Über unsere Buchstaben erfährt Google also nichts von dir.

07Tag und Nacht

Schaltest du zwischen Tag und Nacht um, speichert dein Browser deine Wahl in einem Cookie namens staaff-modus und zusätzlich im lokalen Speicher. Drin steht genau ein Wort: „tag“ oder „nacht“. Hattest du Tag oder Nacht schon bei einem früheren Besuch gewählt, übernehmen wir diese alte Einstellung beim nächsten Besuch in das Cookie.

Das Cookie schickt dein Browser bei jedem Aufruf mit, damit unser Server dir die Seite gleich im richtigen Licht ausliefert und nichts aufblitzt. Dabei schreibt der Server das Cookie mit demselben Wort neu, weil manche Browser Cookies, die ein Skript gesetzt hat, sonst nach sieben Tagen wegräumen. Für etwas anderes nutzen wir es nicht. Über dich verrät es nur eins: Du dimmst beim Lesen gern das Licht.

Hast du nicht selbst umgeschaltet, richtet sich die Seite nach dem Sonnenstand. Dafür nimmt unser Server den ungefähren Ort (Breite und Länge) oder die Zeitzone, sofern Cloudflare sie aus deiner IP-Adresse ableitet und unser Hoster sie an uns weiterreicht. Stand heute reicht er sie nicht weiter, dann rechnet der Server schlicht mit dem Sonnenstand in der Mitte Deutschlands. Sitzt du gerade in Aachen, Görlitz oder auf Mallorca, wird es bei uns also etwas zu früh oder zu spät dunkel; dafür gibt es den Schalter. Der Zweck ist genau eine Rechnung: ob die Sonne schon untergegangen ist. Heraus kommt ein Wort, hell oder dunkel. Gespeichert wird weder ein Ort noch das Ergebnis. Nur falls der Server einmal gar nichts entschieden hat, schätzt dein Browser selbst aus seiner Zeitzone, und die verlässt dein Gerät dafür nicht.

Rechtsgrundlage für das Speichern auf deinem Gerät: § 25 Abs. 2 Nr. 2 TDDDG, weil es unbedingt erforderlich ist, damit die von dir gewählte Einstellung funktioniert. Für das Mitschicken an den Server: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist eine Seite, die sich an deine Wahl hält. Für die Rechnung mit dem ungefähren Ort: ebenfalls Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist eine Seite, die dich abends nicht blendet, ohne dass du erst einen Schalter suchen musst. Willst du das nicht, schalte einmal selbst um: Ab dann gilt deine Wahl, und dein Ort spielt dafür keine Rolle mehr.

Speicherdauer: im Cookie ein Jahr ab deinem letzten Besuch, im lokalen Speicher, bis du die Websitedaten in deinem Browser löschst.

08Wenn du eine Demo buchst

Der Knopf „Demo buchen“ öffnet auf unserer Seite ein Fenster, in das wir den Kalender von cal.com laden (Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, USA). Vor diesem Klick ist von cal.com nichts eingebunden, cal.com erfährt also nichts von dir, solange du nicht klickst. Nach dem Klick lädt dein Browser den Kalender direkt von den Servern von cal.com in den USA und übermittelt dabei, wie bei jedem Seitenaufruf, deine IP-Adresse und Browserdaten. Was du dort einträgst, etwa Name, E-Mail-Adresse und Wunschtermin, verarbeitet cal.com für uns, damit wir den Termin vereinbaren können.

Die Demo selbst dauert 30 Minuten und läuft per Video über Zoom (Zoom Communications, Inc., USA). Dabei verarbeitet Zoom Bild, Ton und die Verbindungsdaten des Gesprächs für uns.

Manchmal nehmen wir ein Demo- oder Vertriebsgespräch auf, damit wir zuhören können statt mitzuschreiben. Das machen wir nur, wenn alle Anwesenden zustimmen, zu Beginn im Chat oder vorher per Mail. Sagt jemand nein oder „Stopp“, läuft das Gespräch ohne Aufnahme weiter. Aufgenommen und in Text umgewandelt wird mit Fireflies (Fireflies.AI Corp., Pleasanton, Kalifornien, USA), das dafür in unserem Auftrag arbeitet. Fireflies darf daraus Daten ohne Bezug zu dir für eigene Zwecke ableiten, etwa um seinen Dienst zu verbessern, aber keine generative KI damit trainieren. Die Tonaufnahme löschen wir, sobald der Text vorliegt, spätestens 30 Tage nach dem Gespräch. Rechtsgrundlage für die Aufnahme ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit einer Mail an hallo@staaff.ai widerrufen kannst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen möglichen Vertrag mit dir geht. Buchst du für dein Unternehmen, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, mit Unternehmen zu sprechen, die sich für staaff interessieren. Zur Übermittlung in die USA siehe Abschnitt 15.

Speicherdauer: Wird aus der Demo nichts, löschen wir deine Buchung bei cal.com, die Mails dazu und einen Gesprächstext spätestens sechs Monate nach dem Termin. Wird ein Auftrag daraus, gilt Abschnitt 13.

09Wenn du uns eine E-Mail schreibst

Ein Kontaktformular gibt es hier nicht. Die Mail-Links auf der Seite öffnen einfach dein eigenes Mailprogramm, adressiert an hallo@staaff.ai. Das gilt auch, wenn du Omar vormerken willst, Partner werden oder uns Anteile anbieten willst: Die Fragebögen dafür füllen nur deine Mail vor, abschicken musst du selbst, und vorher kommt bei uns nichts an. Beim Empfehlungsschein auf der Partnerseite schreibst du an das Unternehmen, das du vorstellst, und wir stehen in CC; den Namen des Unternehmens trägst du selbst ein. Wir speichern deine Nachricht, deine Adresse und was du uns sonst mitteilst, um dir zu antworten. Und nein, in einem Newsletter landest du dadurch nicht.

Den Knopf „Mail an den CFO vorbereiten“ auf der Preisseite gibt es auch: Er öffnet eine Mail ohne Empfänger. An wen du sie schickst, entscheidest du, bei uns landet sie nicht.

Unsere Postfächer liegen bei STRATO (STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin), in Rechenzentren in Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Auftrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, deine Nachricht zu beantworten.

Speicherdauer: bis dein Anliegen erledigt ist. Wird aus der Mail ein Geschäft, bewahren wir sie auf, solange das Steuerrecht es verlangt: Geschäftsbriefe sechs Jahre, Unterlagen, die eine Buchung begründen, acht Jahre (§ 147 AO, Art. 6 Abs. 1 lit. c DSGVO).

10Wenn du dich für den Newsletter einträgst

Auf staaff.ai/newsletter kannst du dich für unseren Newsletter eintragen. Geschrieben wird er von Nuno, unserem digitalen E-Mail-Copywriter, jede Ausgabe gibt Marvin Linxweiler frei. Verschickt wird er über Kit (Kit, Inc., 750 West Bannock Street #761, Boise, Idaho 83701, USA). Kit verarbeitet die Daten dafür in unserem Auftrag (Art. 28 DSGVO).

Was wir brauchen. Deine E-Mail-Adresse und deinen Vornamen, damit die Mail dich mit Namen anspricht. Mehr nicht. Erst wenn du die Abo-Karte einwirfst, schickt dein Browser die Adresse direkt an Kit. Dabei sieht Kit, wie bei jedem Aufruf, deine IP-Adresse, Angaben zu deinem Browser und von welcher Seite die Anmeldung kommt. Vorher lädt die Seite nichts von Kit, und beim Einwerfen setzt sie kein Cookie. Klappt der direkte Weg nicht (JavaScript aus, Netzfilter, altes Gerät) oder will Kit erst prüfen, ob da wirklich ein Mensch einträgt, geht die Karte als normales Formular an Kit, und du landest kurz auf einer Seite von Kit. Dort kann Kit eigene Cookies in deinem Browser ablegen, etwa __cf_bm (Bot-Schutz von Cloudflare, 30 Minuten).

Doppelt hält besser. Nach dem Eintragen schickt dir Kit eine Mail mit einem Bestätigungslink. Erst wenn du darauf klickst, bekommst du den Newsletter. So kann niemand fremde Adressen bei uns eintragen. Damit wir belegen können, dass du zugestimmt hast, bleiben bei Kit festgehalten: wann du dich eingetragen hast, wann du bestätigt hast und über welches Formular.

Was Kit misst. Kit baut in jede Mail ein unsichtbares Zählbild ein. Lädt dein Mailprogramm Bilder nach, erfährt Kit, dass und wann du die Mail geöffnet hast. Kit zählt außerdem, welche Links in der Mail angeklickt werden. Wir sehen das in unserem Kit-Konto und nutzen es, um zu merken, welche Ausgaben ankommen und welche nicht. Wer nicht mitgezählt werden will, kann in seinem Mailprogramm das automatische Laden von Bildern ausschalten, dann zählt Kit keine Öffnung. Die Messung gehört zu deiner Einwilligung in den Newsletter; willst du sie nicht mehr, meldest du dich ab.

Rechtsgrundlage. Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du beim Einwerfen der Karte gibst und mit dem Klick in der Bestätigungsmail bestätigst. Dass und wann du dich eingetragen und bestätigt hast, heben wir auf, um die Einwilligung belegen zu können (Art. 6 Abs. 1 lit. f DSGVO). Unser berechtigtes Interesse ist, im Streitfall nachweisen zu können, dass wir dir nur mit deiner Zustimmung schreiben.

Widerruf. Jederzeit und mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO): über den Abmeldelink in jeder Mail oder mit einer kurzen Mail an hallo@staaff.ai. Was bis dahin verschickt wurde, bleibt rechtmäßig verschickt.

Übermittlung in die USA. Kit sitzt in den USA und verarbeitet die Daten dort, auch mit eigenen Dienstleistern in den USA. Die Übermittlung stützen wir auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Kit in seinen Auftragsverarbeitungsvertrag aufgenommen hat. Siehe auch Abschnitt 15.

Speicherdauer. Solange du angemeldet bist. Meldest du dich ab, löschen wir deine Adresse aus der Empfängerliste. Den Nachweis, dass und wann du dich eingetragen, bestätigt und wieder abgemeldet hast, heben wir danach noch drei Jahre ab Ende des Jahres deiner Abmeldung auf. So lange könnte jemand behaupten, wir hätten ihm ohne Zustimmung geschrieben. Bestätigst du deine Anmeldung nie, löschen wir den Eintrag nach 30 Tagen.

11Wenn du dich bewirbst

Auf der Jobs-Seite bewirbst du dich per E-Mail, egal ob für den Vertrieb, als Ausbilderin oder Ausbilder, als Co-Founder oder einfach auf gut Glück. Wir verarbeiten deine Unterlagen, um zu entscheiden, ob wir zusammenpassen. Die Unterlagen liegen im selben Postfach wie in Abschnitt 9.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags oder Beschäftigungsverhältnisses).

Speicherdauer: Klappt es nicht, löschen wir deine Unterlagen sechs Monate nach der Absage. So lange heben wir sie auf, falls jemand die Auswahl rechtlich prüfen lassen will (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 15 Abs. 4 AGG und § 61b ArbGG). Länger nur, wenn du ausdrücklich zustimmst.

12LinkedIn

Wir verlinken auf die LinkedIn-Seite von staaff und auf das LinkedIn-Profil von Marvin Linxweiler, binden aber nichts von LinkedIn in diese Seite ein. Solange du nicht klickst, erfährt LinkedIn von deinem Besuch hier nichts. Nach dem Klick bist du bei LinkedIn, und dort gilt die Datenschutzerklärung von LinkedIn.

13Wenn aus der Demo ein Auftrag wird

Glückwunsch, ab hier wird es etwas ernster. Aber nur etwas.

Für Vertrag, Abrechnung und Betreuung verarbeiten wir die Kontaktdaten deiner Ansprechpersonen sowie Vertrags- und Rechnungsdaten. Dafür sind wir selbst verantwortlich. Wir setzen dafür ein:

• Zoho für Rechnungen (Zoho Corporation B.V., Niederlande, Daten im EU-Rechenzentrum)
• Attio für unser Kundenverzeichnis mit Ansprechpersonen und Kontaktdaten (Attio Ltd., Großbritannien; die Plattform läuft bei Google Cloud)
• Notion für interne Aufgaben und Notizen mit Namen und Kontaktdaten deiner Ansprechpersonen (Notion Labs, Inc., USA)

Bezahlt wird per Überweisung auf Rechnung, ein Zahlungsdienst sitzt also nicht dazwischen. Die Abstimmungstermine laufen über Zoom, gehören aber zur Zusammenarbeit und stehen darum in Abschnitt 14.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für den Vertrag, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungspflichten und Art. 6 Abs. 1 lit. f DSGVO für Ansprechpersonen, die nicht selbst Vertragspartner sind. Unser berechtigtes Interesse ist die Abwicklung des Vertrags mit deinem Unternehmen.

Speicherdauer: für die Dauer des Vertrags, danach so lange, wie das Steuer- und Handelsrecht es verlangt. Rechnungen und andere Buchungsbelege acht Jahre, Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres (§ 147 AO).

14In der Zusammenarbeit: Portal, digitale Mitarbeiter, Einarbeitung

Jetzt wird es persönlich. Deine digitalen Mitarbeiter arbeiten mit echtem Material, also mit dem, was du erzählst, schreibst und diktierst. Zum Training von KI-Modellen nutzen wir es nie. Darum steht hier, wer damit was macht.

Wer hier was entscheidet. Für die Inhalte, die dein Unternehmen uns für die Arbeit gibt, ist dein Unternehmen verantwortlich. Wir verarbeiten sie in seinem Auftrag nach Art. 28 DSGVO. Gemeint sind etwa die Einarbeitungs- und Abstimmungstermine, bisherige Beiträge, persönliche Geschichten, Journal-Einträge, Diktate, Aufträge, Rückmeldungen, die Zugangsdaten zum Portal und die fertigen Texte. Verbindlich regelt das unser Datenschutzvertrag (Vertrag zur Auftragsverarbeitung, kurz AVV), der mit dem Auftrag deines Unternehmens gilt. Dieser Abschnitt ist die Kurzfassung, der Vertrag ist das Original. Die Account-Inhaber, also die Menschen, unter deren Namen Inhalte erscheinen, bekommen ihre Datenschutzhinweise zusammen mit ihrer Einwilligung, entweder mit dem Auftrag oder per Mail von uns. Und weil das Wort gern fällt: Das Stilprofil, nach dem wir im Stil einer Person schreiben, ist kein Abbild ihrer Stimme und kein biometrisches Merkmal.

Die Termine. Die Einarbeitung läuft in zwei Videoterminen von je rund 45 Minuten, einer zur Strategie, einer zum Inhalt. Danach stimmen wir uns etwa alle zwei Wochen rund 30 Minuten ab. Aufgenommen wird ein Termin nur, wenn alle Anwesenden zustimmen, zu Beginn im Chat des Termins oder vorher per Mail. Fehlt eine Zustimmung, schreiben wir einfach mit. Sagt jemand „Stopp“ oder kommt jemand ohne Zustimmung dazu, halten wir die Aufnahme an. Name, Datum und Uhrzeit jeder Zustimmung halten wir fest. Die Tonaufnahme wird gelöscht, sobald der Text daraus vorliegt, spätestens 30 Tage nach dem Termin. Weitergearbeitet wird nur mit dem Text. Soll deine Aufnahme früher verschwinden, genügt eine Mail an hallo@staaff.ai. Welche Dienste Gespräch, Aufnahme und Verschriftung übernehmen, steht in der Einwilligung, die jede Person vorher bekommt.

Wer dabei hilft. Für diese Arbeit setzen wir Dienstleister ein, etwa für Portal, Datenbank, Server, KI, Versionsarchiv, Videotermine und ihre Aufnahme sowie das Einplanen in sozialen Netzwerken. Welche das genau sind, wo sie sitzen und auf welcher Grundlage Daten dabei in Länder außerhalb der EU gehen, steht verbindlich in der Dienstleisterliste im Datenschutzvertrag (Anhang IV). Dein Unternehmen bekommt diese Liste vor dem Start. Kommt ein neuer Dienstleister dazu, erfährt es das mindestens 14 Tage vorher per Mail und kann widersprechen. Hier wiederholen wir die Liste bewusst nicht: Diese Seite erklärt, was mit deinen Daten als Besucherin oder Besucher passiert, und zwei Listen, die irgendwann auseinanderlaufen, helfen niemandem.

Wer das letzte Wort hat. Ein Mensch bei deinem Unternehmen, nie die Software. Ohne Freigabe im Portal erscheint nichts, und freigeben kann nur, wem dein Unternehmen einen Zugang gibt. Lesen und prüfen vor der Freigabe ist also euer Job. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO, bei denen eine Software allein über einen Menschen entscheidet, trifft das System nicht.

Wie lange. Will dein Unternehmen seine Daten zurück, sagt es uns das spätestens 14 Tage nach Vertragsende. Dann bekommt es innerhalb von 14 Tagen die Beiträge in einem gängigen Format und die Inhalte seines Stilprofils als lesbares Dokument. Kommt nichts, löschen wir ohne Rückgabe. In allen laufenden Systemen ist spätestens 30 Tage nach Vertragsende Schluss, auch bei den digitalen Mitarbeitern selbst. In Versionsarchiven und Sicherungen dauert es etwas länger, dort sind die Daten spätestens 90 Tage nach Vertragsende weg; Sicherungen der Datenbank werden ohnehin nach sieben Tagen überschrieben. Länger bleibt nur, was ein Gesetz verlangt (etwa Rechnungen), was die KI-Anbieter nach ihren Verträgen zur Abwehr von Missbrauch kurz aufbewahren dürfen, und unsere Nachweise (gleich unten). Wer was wie lange behält, steht in der Dienstleisterliste im Datenschutzvertrag.

Was wir selbst aufheben. Ein paar Dinge heben wir in eigener Verantwortung auf, nicht im Auftrag deines Unternehmens: die Einwilligungen der Account-Inhaber, unsere Vermerke zu den Zustimmungen für Aufnahmen (Name, Datum, Uhrzeit) und Nachweise über Freigaben, Aufträge und andere Anweisungen aus dem Portal. Von diesen Anweisungen speichern wir nur Zeitpunkt, verwendeten Zugang und Art, nicht den Inhalt. Damit können wir zeigen, dass wir mit Einwilligung und nach Anweisung gearbeitet haben, und uns im Streitfall wehren. Wir speichern das getrennt, nutzen es für nichts anderes und löschen es sechs Jahre nach Ende des Jahres, in dem der Auftrag endet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, im Zweifel belegen zu können, dass alles sauber lief. Widersprechen kannst du nach Abschnitt 19.

15Übermittlung in Länder außerhalb der EU

Einige unserer Dienstleister sitzen außerhalb der EU oder können von dort auf Daten zugreifen. Eine Übermittlung dorthin ist nur erlaubt, wenn die EU-Kommission dem Empfängerland ein angemessenes Schutzniveau bescheinigt hat (Art. 45 DSGVO), in den USA etwa über das EU-U.S. Data Privacy Framework, oder wenn geeignete Garantien vereinbart sind, zum Beispiel die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Der Stand je Dienst:

• Lovable (Lovable Labs Incorporated, USA): Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Lovable.
• Cloudflare (USA): zertifiziert nach dem EU-U.S. Data Privacy Framework, geprüft am 13.9.2026 in der offiziellen Liste. Zusätzlich Standardvertragsklauseln im Auftragsverarbeitungsvertrag.
• cal.com (USA): Standardvertragsklauseln laut Datenschutzerklärung von cal.com.
• Zoom (USA): zertifiziert nach dem EU-U.S. Data Privacy Framework, geprüft am 13.9.2026 in der offiziellen Liste. Zusätzlich Standardvertragsklauseln im Auftragsverarbeitungsvertrag.
• Fireflies (Fireflies.AI Corp., USA): EU-U.S. Data Privacy Framework, ersatzweise Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Fireflies.
• Attio (Attio Ltd., Großbritannien; die Plattform läuft bei Google Cloud): Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Attio.
• Notion (USA): zertifiziert nach dem EU-U.S. Data Privacy Framework, geprüft am 13.9.2026 in der offiziellen Liste.
• Kit (Kit, Inc., USA): Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Kit. In der offiziellen Liste des Data Privacy Framework ist Kit, Inc. seit dem 31.7.2026 nicht mehr aktiv, geprüft am 14.9.2026.
• Umami (Umami Software, Inc., USA): Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Umami.

Für die Dienstleister in der Zusammenarbeit (Abschnitt 14) steht die Grundlage je Dienst in der Dienstleisterliste im Datenschutzvertrag (Anhang IV).

Eine Kopie der jeweiligen Garantien bekommst du auf Anfrage an hallo@staaff.ai.

16Wie lange wir Daten speichern

So lange, wie wir sie für den jeweiligen Zweck brauchen, und darüber hinaus nur, wenn ein Gesetz uns zum Aufbewahren verpflichtet. Die Fristen im Einzelnen stehen in den Abschnitten oben. Die kurze Version: Das Cloudflare-Cookie hält 30 Minuten, das Lovable-Cookie 24 Stunden, die Nachtmodus-Einstellung ein Jahr ab deinem letzten Besuch, die Besucherstatistik bei Umami sechs Monate, Demo-Buchungen ohne Auftrag sechs Monate, Newsletter-Adressen, solange du angemeldet bist, Bewerbungen bleiben nach einer Absage sechs Monate, Geschäftsbriefe sechs und Rechnungen acht Jahre, und alles andere richtet sich nach dem Anlass.

17Musst du uns Daten geben?

Nein. Nur antwortet es sich schlecht ohne E-Mail-Adresse, ein Termin ohne Buchung wird eher schwierig, und ohne E-Mail-Adresse kommt auch der Newsletter nicht an. Für einen Vertrag brauchen wir die Angaben, die zu einem Vertrag nun mal gehören.

18Deine Rechte

Du hast das Recht auf:

• Auskunft über die Daten, die wir von dir haben (Art. 15 DSGVO)
• Berichtigung falscher Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit, also deine Daten in einem gängigen Format (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine formlose Mail an hallo@staaff.ai genügt, Paragrafen zitieren musst du nicht. Geht es um Inhalte aus der Zusammenarbeit (Abschnitt 14), ist dein Unternehmen der erste Ansprechpartner, wir helfen ihm dabei. Zwei Dinge erledigst du aber direkt bei uns: eine Einwilligung als Account-Inhaber widerrufen und verlangen, dass eine Aufnahme von dir gelöscht wird. Eine Mail an hallo@staaff.ai genügt. Wir bestätigen es dir und sagen deinem Unternehmen Bescheid.

19Dein Widerspruchsrecht

Stützen wir eine Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), kannst du ihr jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Wir verarbeiten deine Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Auch hier genügt eine Mail an hallo@staaff.ai.

Für Werbung gilt noch mehr: Verarbeiten wir deine Daten, um dir Werbung zu schicken, etwa den Newsletter, kannst du dem jederzeit widersprechen, ganz ohne Begründung (Art. 21 Abs. 2 DSGVO). Dann ist damit Schluss. Beim Newsletter reicht ein Klick auf den Abmeldelink in jeder Mail.

20Beschwerde bei einer Aufsichtsbehörde

Findest du, dass wir mit deinen Daten etwas falsch machen, darfst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2 bis 4, 40213 Düsseldorf. Wir hören es aber lieber zuerst von dir, dann können wir es direkt geraderücken.

21Änderungen

Ändert sich etwas an der Seite oder an unseren Diensten, ändern wir diese Erklärung mit. Es gilt immer die Fassung, die gerade hier steht.