DSGVO & KI-Marketing FAQ — Michailidou Digital Services

Question 1

Was bedeutet DSGVO für KI-Marketing-Tools?

Accepted Answer

DSGVO Art. 5–32 + EU-AI-Act. Konkret: Auftragsverarbeitung, Datenminimierung, Speicherbegrenzung, Recht auf Auskunft/Löschung, Privacy-by-Design. Bei KI-Tools zusätzlich: Transparenz über Trainingsdaten-Nutzung sowie Inferenz-Modell-Standort.

Question 2

Wo werden meine Marketing-Daten gespeichert?

Accepted Answer

Konkrete Auflistung der Komponenten: Anwendung über Vercel FRA1 (Frankfurt), Datenbank über Supabase EU (Frankfurt, eu-central-1), File-Storage über Hetzner FSN1/NBG1 (Falkenstein/Nürnberg), KI-Inferenz über Anthropic (EU-Region wo verfügbar, Fallback US-east mit Standard Contractual Clauses).

Question 3

Werden meine Daten zum Training der KI verwendet?

Accepted Answer

Nein. Die Anthropic Enterprise Terms (kommerzieller Tarif) garantieren vertraglich den Ausschluss kundenseitiger Daten von Trainings-Pipelines.

Question 4

Wie funktioniert der AVV (Auftragsverarbeitungsvertrag)?

Accepted Answer

Standard-AVV nach Art. 28 DSGVO mit Michailidou Digital Services I.E. (Sitz: Tiflis, Georgien; Rechtsform: Individual Entrepreneur) als Auftragsverarbeiter. Da der Sitz außerhalb der EU/EWR liegt, ist nach Art. 27 DSGVO ein EU-Vertreter benannt (Admir Xhoxha, Peristeri/Griechenland). Sub-Processors werden über Anlage 3 aufgelistet. Unterzeichnung per E-Mail (PDF mit qualifizierter elektronischer Signatur akzeptiert).

Question 5

Welche Sub-Processors sind beteiligt?

Accepted Answer

Vercel Inc. (Application-Hosting, Frankfurt/DE), Supabase Inc. (Datenbank + Auth, Frankfurt/DE), Anthropic PBC (KI-Inferenz, EU+US mit SCCs), Hetzner Online GmbH (File-Storage, Falkenstein-Nürnberg/DE), Resend Inc. (Transaktions-E-Mails, EU/Ireland), Fly.io (Worker-Compute, EU-Frankfurt), Stripe Inc. (Payment-Processing, EU+US mit SCCs), Google Ireland Ltd. (Calendar/Analytics, nur bei aktivem Consent).

Question 6

Wie lange werden meine Daten gespeichert?

Accepted Answer

Aktive Kunden: Daten so lange wie das Auftragsverhältnis besteht. Nach Vertragsende: 30 Tage Soft-Delete für Reklamationen oder Re-Aktivierung, danach Hard-Delete mit AVV-Löschnachweis per E-Mail. Logs: 14 Tage. Rechnungen: 10 Jahre (HGB § 257).

Question 7

Welches Tracking nutzt diese Website selbst?

Accepted Answer

Google Tag Manager und Google Analytics 4 mit Consent Mode v2 (siehe Datenschutzerklärung Abschnitt 7.2). Vor erteiltem Consent: nur server-side aggregierte Page-Views, kein User-Identifier. Nach Consent: Standard-GA4 mit IP-Anonymisierung. Cookie-Banner basierend auf TTDSG § 25 und DSGVO Art. 6 Abs. 1 lit. a.

Question 8

Kann ich meine Daten exportieren oder löschen?

Accepted Answer

Auskunft (DSGVO Art. 15): JSON-Export aller kundenseitigen Daten per E-Mail-Anfrage an info@michailidou-services.de, Bearbeitungszeit maximal 30 Tage (gesetzlich nach Art. 12 Abs. 3). Löschung (Art. 17): Soft-Delete sofort, Hard-Delete innerhalb 30 Tagen, schriftliche Löschbestätigung danach.

Question 9

Was passiert bei einem Datenleck?

Accepted Answer

Fünfstufiger Incident-Response-Prozess: (1) Detection via Logging und Supabase-Audit-Logs. (2) Containment innerhalb 4 Stunden. (3) Notification an betroffene Kunden innerhalb 24 Stunden per E-Mail. (4) Meldung an die nach Art. 33 DSGVO zuständige Aufsichtsbehörde innerhalb 72 Stunden — für EU-Betroffene über den Art. 27 EU-Vertreter bei der Hellenic Data Protection Authority (HDPA); für nationale georgische Pflichten beim Personal Data Protection Service of Georgia (PDPS). (5) Post-Mortem-Bericht innerhalb 14 Tagen.

Question 10

Warum „Datenresidenz EU" und nicht „deutsche Server"?

Accepted Answer

Drei Komponenten haben EU-Datenresidenz (Vercel FRA, Supabase EU Frankfurt, Hetzner Deutschland), eine hat EU-bevorzugt mit US-Fallback (Anthropic KI-Inferenz). Die Formulierung „Datenresidenz EU" ist DSGVO-präzise — „deutsche Server pauschal" wäre angesichts der Anthropic-Komponente irreführend.

Question 11

Wie ist der Cookie-Consent-Banner aufgebaut (TTDSG § 25)?

Accepted Answer

Der Banner zeigt drei Kategorien: technisch notwendig (immer aktiv), Analyse (opt-in), Marketing (opt-in). Default ist denied. Speicherung als JSON-Object in localStorage. Granular widerrufbar über den Footer-Link „Cookie-Einstellungen". Implementierung: Google Consent Mode v2 mit `wait_for_update: 500ms`.

Question 12

Ist eine Cookie-Banner-Pflicht für Marketing-Cookies gegeben?

Accepted Answer

Ja, nach TTDSG § 25 Abs. 1 für alle nicht-essentiellen Speicher-Zugriffe auf dem Endgerät. Ausnahme: technisch erforderliche Cookies (Session, Consent-Speicherung selbst). Marketing-Cookies wie GA4, Meta-Pixel oder LinkedIn-Insights fallen unter die Consent-Pflicht.

Question 13

Wie verhält sich das Tool zur ePrivacy-Verordnung?

Accepted Answer

Die ePrivacy-Verordnung ist nicht final verabschiedet (Stand Mai 2026); der EU-Council-Entwurf orientiert sich an TTDSG-Logik. Die aktuelle Implementierung (TTDSG-konform) wird mit Inkrafttreten der ePrivacy-VO kompatibel sein. Update-Commitment: Re-Audit innerhalb 90 Tagen nach Verabschiedung.

Question 14

Welches RPO/RTO gilt bei einem Datenpanne-Vorfall?

Accepted Answer

RPO (Recovery Point Objective): maximal 24 Stunden — tägliche Backups von Supabase mit Point-in-Time-Recovery für die letzten 7 Tage. RTO (Recovery Time Objective): maximal 4 Stunden für Application-Restore plus 8 Stunden für Daten-Restore aus PITR. Disaster-Recovery-Test halbjährlich.

Datenschutz, klar und nachvollziehbar.

Datenresidenz EU

AVV-Verträge

KI-Inferenz transparent

Anti-Tracking by default

Open-Source-First

Häufige Fragen

A. Grundlagen

B. Verträge & Prozesse

C. Tool-Verhalten

D. Vorfälle & Standorte

E. Profi-Vertiefung

AVV + Sub-Prozessor-Liste

MDS-AVV-Template (Muster, DE)

Sub-Prozessor-Liste (DE)

Anbieter-DPAs (extern)