Datenschutzerklärung

1. Verantwortlicher

Als in der EU ansässiges Unternehmen (Rumänien ist EU-Mitgliedstaat) unterliegt Cittasana S.R.L. vollständig der DSGVO (EU 2016/679). Die zuständige federführende Aufsichtsbehörde ist die rumänische ANSPDCP (siehe Abschnitt 7).

2. Welche Daten wir erheben und warum

2.1 Besuch der Website (Server-Logs)

Beim Aufrufen dieser Website übermittelt Ihr Browser automatisch folgende Daten an den Webserver (Vercel Inc.):

• IP-Adresse (anonymisiert nach Verarbeitung)
• Aufgerufene URL und Referrer
• Datum und Uhrzeit des Zugriffs
• Browser-Typ, Browser-Version, Betriebssystem
• Übertragene Datenmenge, HTTP-Statuscode

Diese Daten sind für den technischen Betrieb der Website erforderlich (z.B. Anzeige der Seite, Fehlerdiagnose) und werden nicht mit anderen Daten zusammengeführt oder für Profiling verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, funktionsfähigen Betrieb der Website). Speicherdauer: max. 30 Tage in Vercel-Infrastruktur, danach automatische Löschung.

2.2 AI-Ready-Check Kontaktformular

Wenn Sie das AI-Ready-Check Formular ausfüllen, erheben wir folgende Daten:

Diese Daten werden ausschließlich zur Bearbeitung Ihrer Anfrage und zur Kontaktaufnahme durch Cosmo Gräf verwendet. Sie werden auf Servern von Supabase GmbH (Frankfurt, Deutschland) gespeichert. Es erfolgt keine Weitergabe an Dritte zu Marketingzwecken, kein automatisierter Versand von Newslettern oder Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnungsmaßnahmen auf Anfrage des Betroffenen). Speicherdauer: bis zur abgeschlossenen Bearbeitung Ihrer Anfrage; bei entstehender Geschäftsbeziehung gelten gesetzliche Aufbewahrungsfristen (max. 10 Jahre für Geschäftskorrespondenz nach rumänischem Recht); ohne Geschäftsbeziehung max. 24 Monate.

2.3 E-Mail-Kontakt

Wenn Sie uns eine E-Mail an office@cittasana.de senden, speichern wir Ihre E-Mail-Adresse, Ihren Namen (sofern angegeben) und den Inhalt Ihrer Nachricht zur Bearbeitung Ihrer Anfrage. E-Mails werden in unserem E-Mail-System (Postfach des Verantwortlichen) gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen) bzw. Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanbahnungen. Keine automatisierte Verarbeitung, keine Weitergabe. Speicherdauer: 24 Monate nach Abschluss der Kommunikation, sofern kein Vertragsverhältnis entsteht.

2.4 Automatisierte Entscheidungsfindung

Cittasana S.R.L. trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die rechtliche oder ähnlich erhebliche Auswirkungen auf Sie haben. KI-Systeme dienen ausschließlich als Unterstützungswerkzeug; alle relevanten Entscheidungen werden von Cosmo Gräf persönlich getroffen und verantwortet.

3. Cookies und Reichweiten-Analyse (Google Analytics 4)

3.1 Technisch notwendige Speicherung

Diese Website setzt zwei technisch notwendige Einträge im localStorage Ihres Browsers (keine klassischen Cookies):

• cittasana-theme — speichert Ihre Wahl Hell-/Dunkelmodus, damit sie über Besuche hinweg erhalten bleibt.
• cittasana-consent — speichert Ihre Entscheidung zum Cookie-Banner (Akzeptieren / Ablehnen), damit wir Sie nicht bei jedem Besuch erneut fragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Bedienkomfort und Einhaltung Ihrer Consent-Entscheidung) und § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderliche Speicherung).

3.2 Google Analytics 4 mit Google Signals — nur nach Einwilligung

Wir nutzen Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), um Nutzungsverhalten auf unserer Seite zu analysieren und zu verstehen, welche Zielgruppe wir erreichen. GA4 setzt Cookies (insb. _ga, _ga_*) und überträgt Nutzungsdaten an Google.

Wir laden GA4 erst, nachdem Sie über unseren Cookie-Banner aktiv eingewilligt haben. Ohne Einwilligung wird kein GA-Skript geladen, keine Cookies gesetzt, keine Daten an Google übertragen.

3.2.1 Google Signals — geräteübergreifende Erkennung

Mit Ihrer Einwilligung aktivieren wir zusätzlich Google Signals. Dabei verknüpft Google Ihre Besuche über mehrere Geräte und Browser hinweg, sofern Sie in Ihrem Google-Konto eingeloggt sind und in den Google-Konto-Einstellungen der personalisierten Werbung zugestimmt haben. Konkret entstehen folgende zusätzliche Datenkategorien:

• Cross-Device-Tracking: Besuche von Desktop, Tablet, Smartphone werden als eine Nutzerin/ein Nutzer erkannt.
• Demografische Merkmale: Altersgruppe und Geschlecht (aggregierte Schätzung von Google, keine exakten Werte).
• Interessen-Kategorien: Themengruppen wie „Technologie", „Business" — basierend auf dem Google-Profil der Nutzerin/des Nutzers.
• Remarketing-Listen: Wir können Besucherinnen und Besucher unserer Seite anonymisiert in Listen zusammenfassen, die wir später für Google-Ads-Kampagnen nutzen können (aktuell setzen wir noch keine Google-Ads-Kampagnen aktiv ein, behalten uns diese Möglichkeit aber vor).

Google verarbeitet diese Daten in pseudonymisierter Form. Wir als Cittasana S.R.L. sehen keine personenbezogenen Profile einzelner Nutzer, sondern nur aggregierte Reports (z.B. „38 % unserer Besucher sind 25–34 Jahre alt"). Die Verknüpfung mit dem Google-Konto erfolgt ausschließlich auf Seiten von Google.

Sie können Google Signals deaktivieren, ohne die übrige Analyse zu beenden — direkt in Ihrem Google-Konto unter „Werbeeinstellungen" (Schalter „Personalisierte Werbung" auf OFF). Alternativ verweigern Sie unsere Cookie-Banner-Einwilligung komplett — dann wird gar nichts geladen.

3.2.2 Konfiguration und Datenkategorien

• IP-Anonymisierung aktiv (Standard in GA4 — Google verarbeitet IP-Adressen nur kurz und speichert sie nicht).
• Google Signals aktiv (siehe 3.2.1).
• Datenspeicherung 14 Monate (kürzeste GA4-Option), danach automatische Löschung.
• „Daten mit Google teilen"-Schalter deaktiviert (keine Datenweitergabe an Google-Produkte außerhalb von Analytics für Benchmarking, Tech-Support oder Account-Specialists).

Erfasst werden u. a.: anonymisierte IP-Adresse, Seitenaufrufe, Verweildauer, Referrer, Gerätetyp, Browser, ungefähre Region (Land/Stadtebene), Sprache, sowie über Google Signals: aggregierte demografische Merkmale, Interessen-Kategorien und geräteübergreifende Verknüpfung bei eingeloggten Google-Konten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 Abs. 1 TDDDG. Empfänger: Google Ireland Limited (EU/EWR); Datenübermittlung in die USA kann nicht vollständig ausgeschlossen werden — Google ist nach EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023).Speicherdauer: 14 Monate. Widerruf: Jederzeit über den Footer-Link „Cookie-Einstellungen" oder durch Löschen der GA-Cookies im Browser bzw. Deaktivierung der personalisierten Werbung im Google-Konto. Datenschutz Google: policies.google.com/privacy. Werbeeinstellungen Google: adssettings.google.com.

3.3 Keine weiteren Tracking-Dienste

Wir setzen kein Meta/Facebook-Pixel, kein LinkedIn-Insight-Tag, kein TikTok-Pixel und keine Heatmap-/Session-Replay-Tools (Hotjar, Microsoft Clarity etc.). Google-Ads-Conversion-Tags sind aktuell ebenfalls nicht eingebunden; sollte sich das ändern, aktualisieren wir diese Erklärung vorab.

4. Schriftarten

Diese Website verwendet die Schriftarten Manrope und Newsreader. Die Schriftdateien sind selbst gehostet auf unseren eigenen Servern (Vercel, Frankfurt). Es werden keine Schriftdaten an Google oder andere Dritte übertragen.

5. Drittanbieter und Auftragsverarbeitung

Vercel Inc. (Webhosting)

San Francisco, USA. Serverstandort: Frankfurt, Deutschland. Datenschutz: vercel.com/legal/privacy-policy. Auftragsverarbeitungsvertrag (AVV) liegt vor.

Supabase Inc. (Datenbank für Kontaktformular)

San Francisco, USA. Datenbankserver: Frankfurt, Deutschland (EU). Datenschutz: supabase.com/privacy. AVV liegt vor. Daten verlassen die EU nicht.

Anthropic PBC (KI-Verarbeitung in HiveMind)

San Francisco, USA. HiveMind nutzt Claude AI von Anthropic zur Verarbeitung von Unternehmensanfragen. Kundendaten werden gemäß Anthropics Enterprise-Datenschutzrichtlinien verarbeitet. Kein Training auf Kundendaten. Datenschutz: anthropic.com/privacy. Zero Data Retention Policy verfügbar.

Google Ireland Limited (Web-Analyse, nur nach Einwilligung)

Gordon House, Barrow Street, Dublin 4, Irland. Mutterkonzern: Google LLC, USA. Google Analytics 4 mit IP-Anonymisierung. Kein Werbe-Targeting. Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist im Google-Konto akzeptiert. EU-US Data Privacy Framework: zertifiziert. Datenschutz: policies.google.com/privacy. Detaillierte Konfiguration siehe Abschnitt 3.2.

6. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Welche Daten wir über Sie gespeichert haben
• Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO): Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO): Eingeschränkte Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten
• Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitung

Zur Ausübung Ihrer Rechte wenden Sie sich an: office@cittasana.de

7. Beschwerderecht und Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Als EU-Unternehmen mit Sitz in Rumänien ist die federführende Aufsichtsbehörde:

Betroffene Personen mit gewöhnlichem Aufenthalt in Deutschland, Österreich oder der Schweiz können sich auch an die jeweils zuständige nationale Behörde wenden (z.B. BfDI in Deutschland, DSB in Österreich, EDÖB in der Schweiz). Diese leiten die Beschwerde gegebenenfalls an die federführende Behörde weiter (One-Stop-Shop-Prinzip, Art. 56 DSGVO).

8. Datenpannen (Data Breach)

Im unwahrscheinlichen Fall einer Datenschutzverletzung handeln wir nach Art. 33 und 34 DSGVO:

• Meldung an die ANSPDCP innerhalb von 72 Stunden nach Bekanntwerden
• Direkte Benachrichtigung betroffener Personen bei voraussichtlich hohem Risiko (Art. 34 DSGVO)
• Dokumentation aller Vorfälle in unserem internen Verarbeitungsverzeichnis

9. Aktualität dieser Erklärung

Diese Datenschutzerklärung hat den Stand April 2026. Cittasana S.R.L. behält sich vor, sie bei Änderungen der Website, der eingesetzten Dienste oder der Rechtslage anzupassen. Die jeweils aktuelle Fassung ist jederzeit unter cittasana.de/datenschutz abrufbar.