Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Lileos Marketing Gruppe, Mario Hiss
Hauptstraße 142, 79356 Eichstetten am Kaiserstuhl
E-Mail: mario@lileos.de

2. Hosting und Server

Diese Website wird bei Firebase Hosting (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) gehostet. Beim Aufruf der Seite werden technisch notwendige Server-Logfiles verarbeitet (u. a. IP-Adresse, Datum und Uhrzeit, abgerufene Datei, Browsertyp). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Eine Datenübermittlung in Drittländer (USA) ist möglich; sie ist über die Standardvertragsklauseln der EU-Kommission abgesichert. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Anfragen aus unseren Formularen und die Meldungen aus den Abschnitten 7 und 10 verarbeiten wir über eigene Server-Funktionen bei Google (Firebase Cloud Functions, Region Frankfurt). Google protokolliert dabei jeden Aufruf mit IP-Adresse, Zeitpunkt und Browser-Typ. Diese Protokolle werden nach 30 Tagen gelöscht. Rechtsgrundlage ist auch hier unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

3. Terminbuchung (Cal.com)

Für die Buchung eines kostenlosen Kennenlerngesprächs binden wir den Dienst Cal.com ein. Buchst du einen Termin, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, ggf. Telefonnummer sowie deine Angaben zum Vorhaben) zur Vorbereitung und Durchführung des Gesprächs. Rechtsgrundlage ist die Anbahnung bzw. Durchführung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie, soweit du einwilligst, Art. 6 Abs. 1 lit. a DSGVO. Der Embed lädt von Servern des Anbieters; eine Übermittlung in Drittländer ist über Standardvertragsklauseln abgesichert.

Öffnest du nach einer Anfrage über unsere Seiten den Kalender, tragen wir darin deinen Namen und deine E-Mail-Adresse aus dem Formular vorab ein. Cal.com erhält beide Angaben damit schon beim Öffnen, auch wenn du danach nicht buchst. Außerdem geben wir Cal.com die Seite, auf der du bei uns gelandet bist, Kampagnen-Angaben aus dem Link und eine darin enthaltene Klick-ID von Meta mit, mit deiner Einwilligung auch die Kennungen aus den Meta-Cookies, auf einigen Seiten zusätzlich die interne Nummer deiner Anfrage. Cal.com meldet uns die Buchung zurück, und wir ordnen sie deiner Anfrage zu. Vor dem Termin schicken wir dir Erinnerungen per E-Mail über Brevo (Abschnitt 4). Gehört die Buchung zu einer Anfrage, melden wir sie an Meta (Abschnitt 10).

4. E-Mail-Marketing & CRM (Brevo)

Nach einer Anfrage, einem Website-Check oder einer Terminbuchung speichern wir deine Kontaktdaten (Name, E-Mail-Adresse, ggf. Telefonnummer sowie Kampagnen-Informationen) in unserem CRM- und E-Mail-System Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin). Wir nutzen diese Daten, um dich zu kontaktieren und – nur mit deiner Einwilligung und im Double-Opt-In-Verfahren – für gelegentliche Informationen per E-Mail. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. die Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Mit Brevo besteht ein Auftragsverarbeitungsvertrag. Einen Kontakt legen wir bei Brevo nur an, wenn du eine E-Mail-Adresse angegeben hast. Die Benachrichtigung an uns über deine Anfrage und die Eingangsbestätigung an dich verschicken wir ebenfalls über Brevo. Du kannst dich jederzeit abmelden.

5. Website-Check und KI-gestützte Vorbereitung deiner Anfrage

Wenn du einen Website-Check oder ein Kennenlerngespräch anfragst, verarbeiten wir deine Formularangaben sowie öffentlich zugängliche geschäftliche Informationen zu deinem Betrieb, deinem Online-Auftritt und deiner beruflichen Tätigkeit. Dazu können insbesondere die angegebene Website, Impressumsangaben, offizielle Unternehmensprofile und Register, geschäftsbezogene Verzeichnisse und geschäftlich genutzte Social-Media-Profile gehören. Zweck ist ein internes Gesprächsbriefing, mit dem wir deine Anfrage sachlich vorbereiten und dich gezielt beraten können.

Für diese Vorbereitung nutzen wir KI-Werkzeuge von zwei Anbietern. Ein Programm auf unserem Rechner lässt zu neuen Anfragen eine Recherche mit Websuche über OpenAI laufen (ChatGPT und Codex, für Nutzer im EWR OpenAI Ireland Ltd.). Dafür gehen an OpenAI der Name deines Betriebs, die Website, die Branche, deine Antworten aus dem Formular und der Name, den du im Formular angibst. Telefonnummern und E-Mail-Adressen entfernt das Programm vorher. Mit deinem Namen lässt das Programm auch nach öffentlich sichtbaren beruflichen Angaben zu dir suchen, etwa nach deiner Rolle im Betrieb, deinem beruflichen Werdegang, weiteren Firmen und geschäftlichen Profilen. Nach privaten Angaben lassen wir nicht suchen. Außerdem ruft das Programm deine Website auf und prüft technische Grundlagen wie Erreichbarkeit und Verschlüsselung, auch dieses Ergebnis geht an OpenAI. Unsere Notizen zu Anfragen und Gesprächen führen wir mit Hilfe von Claude (Anthropic, für Nutzer im EWR Anthropic Ireland, Limited). Dabei verarbeitet Claude auch deinen Namen, deine Kontaktdaten und unsere Gesprächsnotizen. Bei OpenAI und Anthropic können Daten in die USA übermittelt werden.

Die KI-Ausgabe dient ausschließlich der internen Vorbereitung. Wir prüfen das Briefing und bei entscheidenden Aussagen die Originalquelle. Es findet keine ausschließlich automatisierte Entscheidung über Vertrag, Bonität, Preis oder die Annahme deiner Anfrage statt. Ist die Zuordnung zu deinem Betrieb unsicher, ist das Ergebnis so gekennzeichnet, und wir prüfen es vor dem Gespräch nach. Die Ergebnisse schicken wir uns per E-Mail über Brevo und speichern sie auf unserem Rechner sowie, ohne Telefonnummer und E-Mail-Adresse, in unserer internen Kundenverwaltung bei Google Firebase. Für die Speicherdauer gilt Abschnitt 6.

Rechtsgrundlage für den von dir angeforderten Check und die Gesprächsvorbereitung ist Art. 6 Abs. 1 lit. b DSGVO. Soweit wir ergänzende öffentlich zugängliche geschäftliche und berufliche Informationen verarbeiten, stützen wir dies auf unser berechtigtes Interesse an einer richtigen Gesprächsvorbereitung und der Vermeidung von Personen- oder Unternehmensverwechslungen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Zum Schutz des Website-Check-Formulars vor automatisiertem Missbrauch laden wir im letzten Formularschritt Cloudflare Turnstile (Cloudflare, Inc.). Turnstile wertet technische Signale des Browsers und der Verbindung aus und übermittelt einen kurzlebigen Prüftoken; unser Server lässt den Submit erst nach erfolgreicher Prüfung zu. Dabei können insbesondere IP-Adresse, Browser-/Gerätesignale, Zeitpunkt und Prüfergebnis verarbeitet werden. Die Verarbeitung ist für die Sicherheit des Formulars erforderlich und beruht auf Art. 6 Abs. 1 lit. f DSGVO. Eine Drittlandübermittlung kann stattfinden und ist über die mit Cloudflare vereinbarten Datenschutzgarantien abzusichern. Turnstile verwenden wir nicht für Werbung.

6. Anfragen über unsere Formulare

Schickst du eines unserer Anfrageformulare ab, speichern wir deine Angaben, je nach Formular Name, Telefonnummer, E-Mail-Adresse, den Namen deines Betriebs, die Adresse deiner Website und deine Antworten auf die Fragen im Formular. Dazu speichern wir die Seite, über die du angefragt hast, Kampagnen-Angaben aus dem Link (zum Beispiel utm-Parameter und die Anzeigen-ID), eine im Link enthaltene Klick-ID von Meta, mit deiner Einwilligung auch die Kennungen aus den Meta-Cookies, deinen Browser-Typ, den Zeitpunkt, ob du im Cookie-Banner Marketing erlaubt hast und welche Fassung des Hinweises unter dem Formular galt. Deine IP-Adresse speichern wir in der Anfrage nicht. Die Anfrage liegt in Google Firestore (Firebase, Google Ireland Limited) mit Speicherort in der EU. Über den Eingang benachrichtigt uns eine E-Mail mit deinen Angaben, die wir über Brevo verschicken (Abschnitt 4). Auf den meisten Seiten berechnen wir aus deinen Antworten eine Einstufung. Mit ihr planen wir die Reihenfolge unserer Rückrufe, außerdem geht sie an Meta (Abschnitt 10).

Vor dem Speichern prüfen wir, ob Telefonnummer und E-Mail-Adresse plausibel sind. Dafür fragen wir unter anderem ab, ob die Domain deiner E-Mail-Adresse E-Mails empfangen kann. Weisen wir eine Eingabe als unplausibel ab, speichern wir sie mit IP-Adresse und Browser-Typ sieben Tage lang, um Missbrauch zu erkennen. Um doppelte Anfragen zu erkennen, gleichen wir Telefonnummer und E-Mail-Adresse mit den Anfragen der letzten 30 Tage ab. Dafür speichern wir aus beiden Angaben je einen Prüfwert (Hashwert). Wirkt eine Anfrage wie ein Test oder eine Fälschung, kennzeichnen wir sie intern und melden sie nicht an Meta.

Wir melden uns unter den angegebenen Kontaktdaten bei dir, per Anruf, SMS oder E-Mail. Wie wir das Gespräch vorbereiten, steht in Abschnitt 5, was wir zu deiner Anfrage an Meta melden, in Abschnitt 10. Rechtsgrundlage ist die Anbahnung eines Vertrags auf deine Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO). Die Prüfung auf Missbrauch und doppelte Anfragen stützen wir auf unser berechtigtes Interesse an einem sicheren Formular (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern deine Anfrage, solange wir sie für die Bearbeitung und die Anbahnung eines Auftrags brauchen. Wirst du Kunde, gelten zusätzlich die gesetzlichen Aufbewahrungsfristen.

7. Ereignisliste unserer Anfrageseiten

Auf einigen unserer Anfrageseiten halten wir in einer eigenen Liste fest, wie weit Besucher kommen: Seitenaufruf, Start des Formulars, welche Frage angezeigt und beantwortet wurde, das Öffnen des Kalenders, das Absenden und einen Abbruch, auf manchen Seiten auch Klicks auf unsere Telefonnummer oder ein Kundenbeispiel. Das gilt für alle Besucher, auch ohne Einwilligung. Zu jedem Eintrag speichern wir die Seite, das Ereignis, die gewählte Antwort bei Auswahlfragen (bei der Frage nach deiner Website nur die Art der Angabe, nicht die Adresse), eine zufällige Kennung für den einzelnen Seitenaufruf, Kampagnen-Angaben aus dem Link (utm-Parameter, Kampagnen-, Anzeigengruppen- und Anzeigen-ID), ob der Link eine Klick-ID von Meta enthielt (nur ja oder nein), die Geräteart (Handy, Tablet oder Computer), ob die Seite im Instagram- oder Facebook-Browser geöffnet wurde, ob der Aufruf nach einem automatischen Programm aussieht und ob du Marketing-Cookies erlaubt hast. Nicht gespeichert werden deine IP-Adresse, der vollständige Browser-Typ, die Klick-ID selbst, Cookie-Kennungen, Name, Telefonnummer, E-Mail-Adresse und eingegebene Website-Adressen. Die zufällige Kennung verbinden wir nicht mit deiner Anfrage. Cookies setzen wir dafür nicht.

Die Liste liegt in Google Firestore mit Speicherort in der EU. Jeder Eintrag wird 90 Tage nach dem Ereignis automatisch gelöscht, in der Regel innerhalb eines Tages danach. Wir nutzen die Liste nur, um unsere Seiten auszuwerten und zu verbessern, und geben sie nicht weiter. Welche Ereignisse zusätzlich an Meta gehen, steht in Abschnitt 10. Rechtsgrundlage ist unser berechtigtes Interesse an der Auswertung unserer Seiten (Art. 6 Abs. 1 lit. f DSGVO).

8. Projekt-Start-Formular für Kunden (Onboarding)

Für die Umsetzung beauftragter Website-Projekte stellen wir unseren Kunden unter /onboarding ein Formular bereit, das nur über einen persönlichen Link erreichbar ist. Darin verarbeiten wir die Angaben, die wir für die Erstellung der Website benötigen: Kontaktdaten des Ansprechpartners, Firmendaten (u. a. Impressumsangaben), Angaben zu Leistungen, Zielen und Gestaltungswünschen sowie hochgeladene Dateien (z. B. Logo und Fotos). Damit nichts verloren geht, werden Eingaben bereits während des Ausfüllens zwischengespeichert – auch, wenn das Formular noch nicht abgeschickt wurde. Die Daten werden in Google Firestore bzw. Google Cloud Storage (Firebase, Google Ireland Limited) gespeichert und über eine von uns betriebene Cloud Function in der Region Frankfurt (europe-west3) verarbeitet; mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag, eine mögliche Drittlandübermittlung ist über Standardvertragsklauseln abgesichert. Über den Eingang der Angaben werden wir per E-Mail benachrichtigt; der Versand läuft über unseren Dienstleister Brevo (siehe Abschnitt 4). Rechtsgrundlage ist die Durchführung des Vertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Entwürfe nicht abgeschlossener Formulare löschen wir spätestens nach sechs Monaten; Projektdaten speichern wir für die Dauer der Zusammenarbeit und darüber hinaus nur im Rahmen gesetzlicher Aufbewahrungspflichten. Auf der Formular-Seite selbst setzen wir keine Statistik- oder Marketing-Dienste ein.

9. Cookies und Einwilligungsverwaltung

Wir setzen technisch notwendige Cookies ein, die für den Betrieb der Seite erforderlich sind und keine Einwilligung benötigen. Alle nicht notwendigen Dienste, die Cookies oder vergleichbare Kennungen auf deinem Gerät speichern oder auslesen (Statistik, Marketing), werden erst nach deiner ausdrücklichen Einwilligung über unser Consent-Banner geladen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Lehnst du ab, wird das Meta-Pixel nicht geladen und es werden keine Marketing-Cookies (z. B. _fbp, _fbc) gesetzt und keine Kennungen aus deinem Browser ausgelesen. Unabhängig davon verarbeiten wir einzelne Ereignisse serverseitig und ohne Zugriff auf dein Gerät, auch wenn du im Banner „Nur notwendige“ wählst. Welche das sind und auf welcher Rechtsgrundlage, steht in den Abschnitten 7 und 10. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen" im Seitenfuß mit Wirkung für die Zukunft widerrufen.

10. Meta-Pixel & Conversions API (Meta Ads)

Mit deiner Einwilligung setzen wir das Meta-Pixel sowie die Conversions API (CAPI) von Meta Platforms Ireland Limited ein, um den Erfolg unserer Werbeanzeigen zu messen und passende Inhalte auszuspielen. Dabei werden Ereignisse wie Seitenaufrufe, Klicks, Schritte in unseren Formularen und Terminbuchungen verarbeitet, im Website-Check auch eine dort eingegebene Website-Adresse. Die Conversions API überträgt diese Ereignisse zusätzlich serverseitig über eine von uns betriebene Firebase Cloud Function an Meta, zusammen mit den Kennungen aus den Meta-Cookies (_fbp, _fbc). E-Mail-Adresse und Telefonnummer werden vor der Übermittlung mit SHA-256 umgerechnet und nur als Hashwert übertragen (pseudonymisiert). Aus einem Hashwert lässt sich die Angabe nicht direkt ablesen. Meta kann ihn aber mit den Hashwerten der eigenen Nutzerkonten abgleichen und so erkennen, ob zu dir ein Facebook- oder Instagram-Konto gehört. Browser-Pixel und Conversions API nutzen eine gemeinsame Ereignis-ID zur Entdopplung. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst.

Auch ohne deine Einwilligung übermitteln wir einzelne Ereignisse serverseitig und ohne Cookies über unsere eigene Firebase Cloud Function an Meta, um zu messen, welche Anzeigen zu Anfragen und Aufträgen führen. Das gilt auch, wenn du im Cookie-Banner „Nur notwendige“ wählst. Auf unseren Kampagnen- und Anfrageseiten sind das der Seitenaufruf, Klicks auf bestimmte Knöpfe, der Start eines Videos und die Schritte in unseren Formularen mit deinen Antworten auf Auswahlfragen und einer daraus berechneten Einstufung, aber ohne Texte, die du selbst eintippst. Dabei wird nicht auf dein Gerät zugegriffen: Es werden keine Cookies gesetzt oder ausgelesen und keine Browser-Kennungen (_fbp, _fbc) verwendet. Übermittelt werden das jeweilige Ereignis, die aufgerufene Seite, deine IP-Adresse und dein Browser-Typ, eine gegebenenfalls in der Anzeigen-URL enthaltene Klick-ID (fbclid) und Kampagnen-Angaben aus dem Link.

Schickst du eine Anfrage ab, melden wir sie als Anfrage („Lead“) an Meta. Neben IP-Adresse, Browser-Typ, Klick-ID und Kampagnen-Angaben gehen dabei deine Telefonnummer mit Ländervorwahl, deine E-Mail-Adresse, das aus der Vorwahl abgeleitete Land und eine interne Nummer deiner Anfrage mit, jeweils nur als Hashwert (siehe oben). Danach melden wir auch, wie es mit deiner Anfrage weitergeht: wenn wir sie als passend einstufen, wenn ein Termin vereinbart ist und wenn du uns beauftragst, dann mit dem Auftragswert. Diese späteren Meldungen enthalten dieselben Hashwerte, die Klick-ID, Kampagnen-Angaben und deinen Browser-Typ, aber keine IP-Adresse.

Rechtsgrundlage ist unser berechtigtes Interesse an der Messung und Steuerung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO). § 25 TDDDG ist nicht berührt, da keine Informationen auf deinem Endgerät gespeichert oder ausgelesen werden. Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO). Eine formlose E-Mail an die Adresse in Abschnitt 1 genügt, du kannst es uns auch am Telefon sagen. Was bereits übermittelt ist, können wir nicht zurückholen.

Hinsichtlich der gemeinsamen Verarbeitung zu Werbezwecken sind wir und Meta gemeinsam Verantwortliche (Art. 26 DSGVO). Eine Übermittlung in die USA ist möglich und über Standardvertragsklauseln abgesichert.

11. Webanalyse (Google Analytics 4)

Nur nach deiner Einwilligung nutzen wir Google Analytics 4 (Google Ireland Limited), um die Nutzung der Website auszuwerten. Dabei werden pseudonymisierte Nutzungsdaten verarbeitet, im Website-Check auch eine dort eingegebene Website-Adresse. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst. Eine Übermittlung in die USA wird über die Standardvertragsklauseln abgesichert.

12. Nutzungsanalyse (Microsoft Clarity)

Nur nach deiner Einwilligung nutzen wir Microsoft Clarity (Microsoft Ireland Operations Ltd.), um zu verstehen, wie Besucher die Seite nutzen – etwa über Heatmaps und anonymisierte Sitzungs-Aufzeichnungen (Scroll- und Klickverhalten). Eingaben in Formularfelder werden dabei maskiert. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst. Eine Übermittlung in die USA wird über die Standardvertragsklauseln abgesichert.

13. Deine Rechte

Dir stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO) zu. Eine erteilte Einwilligung kannst du jederzeit widerrufen. Zudem hast du ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, etwa dem Landesbeauftragten für den Datenschutz Baden-Württemberg.

Stand: Oktober 2026