Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist HarborBit, zu der die Marke XhaoLab gehört:

Besuch der Website

Beim Aufruf verarbeitet unser Server die Daten, die dein Browser technisch mitsendet, vor allem deine IP-Adresse. Ins Protokoll schreiben wir nur Zeitpunkt, aufgerufene Adresse, Status, Datenmenge und Antwortzeit; statt der IP-Adresse steht dort ein Prüfwert (Hash), dessen Schlüssel alle 24 Stunden wechselt. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Website, Kontaktformular und E-Mail-Postfächer laufen auf unserem gemieteten Server in Deutschland; der Hosting-Anbieter verarbeitet Daten nur in unserem Auftrag (Art. 28 DSGVO). Fremde Inhalte wie externe Schriften, Karten, Videos oder Social-Media-Knöpfe binden wir nicht ein; Links zu anderen Diensten übertragen erst etwas, wenn du sie anklickst. Gegen Missbrauch von Chat und Formular zählt der Server Anfragen je IP-Adresse nur im Arbeitsspeicher; diese Zähler sind spätestens 61 Minuten nach der letzten Anfrage gelöscht.

Speicherung in deinem Browser

Wir setzen keine Cookies. Im Speicher deines Browsers legen wir nur ab, was du selbst einstellst: deine Sprache („xhaolab-locale“) – dauerhaft, wenn du sie in der Sprachauswahl wählst, sonst nur für diesen Tab, wenn du über einen Link mit Sprachangabe kommst –, die Einstellung „Bewegung anhalten“ („xhaolab-motion-v1“) und deine Entscheidung im Einwilligungsfenster mit Datum und Textfassung („xhaolab-consent-v1“); mit dem Vergleichsschalter „?vorschau=0“ merkt sich der Tab bis zum Schließen außerdem die ältere Fassung der Seite („xhaolab-alte-fassung“). Diese Einträge verlassen deinen Browser nicht, und du kannst sie jederzeit über die Websitedaten deines Browsers löschen. Eine Einwilligung ist dafür nicht nötig, weil sie für die von dir gewünschte Funktion unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO).

Statistik

Das Einwilligungsfenster ist für eine Besuchsstatistik mit unserem eigenen Programm SiteDeck vorbereitet. Sie ist derzeit ausgeschaltet: Auch mit deiner Zustimmung wird nichts geladen und nichts erhoben. Bevor wir sie einschalten, ergänzen wir diese Erklärung und fragen dich erneut.

AI Concierge (KI-Chat)

Der AI Concierge ist ein KI-System: Seine Antworten erzeugt ein Sprachmodell, kein Mensch. Schickst du eine Frage ab, leitet unser Server sie mit höchstens acht vorherigen Nachrichten des Gesprächs und der eingestellten Sprache an OpenRouter, Inc. (New York, USA) weiter, die sie als unser Auftragsverarbeiter von Google Cloud (Vertex AI) oder Amazon Web Services (Bedrock) beantworten lässt. Deine IP-Adresse geben wir nicht weiter. Wir lassen nur Betreiber zu, die Eingaben nach der Antwort nicht speichern und nicht zum Training verwenden; auch wir speichern weder Fragen noch Antworten. OpenRouter ordnet Eingaben außerdem in eigener Verantwortung anonym einem Thema zu, um eigene Nutzungsstatistiken zu erstellen (openrouter.ai/privacy).

Gib bitte keine persönlichen Angaben ein – der Chat braucht keine. Der Verlauf liegt nur in deinem Browser und ist beim Neuladen weg; eine automatisierte Entscheidung über dich (Art. 22 DSGVO) trifft der Chat nicht. Rechtsgrundlage ist unser berechtigtes Interesse, Fragen zu unserem Angebot sofort und in deiner Sprache zu beantworten (Art. 6 Abs. 1 lit. f DSGVO); das gilt auch für die anonyme Themenzuordnung durch OpenRouter, die wir nicht abschalten können.

Wenn du uns schreibst

Schreibst du uns über das Kontaktformular, per E-Mail oder per WhatsApp, verarbeiten wir deine Angaben – beim Formular Name, E-Mail-Adresse und Nachricht –, um dir zu antworten; ohne sie können wir das nicht. Das Formular schickt deine Anfrage als E-Mail an unser Postfach auf unserem eigenen Mailserver in Deutschland; E-Mails an uns bleiben dort und gehen an keine anderen Dienste. Zur Spamabwehr gleicht der Mailserver die Adresse des einliefernden Servers und Links in E-Mails mit öffentlichen Sperrlisten ab. Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

Die Telefonnummer oben ist ein Link zu WhatsApp (WhatsApp Ireland Limited, Dublin). Erst wenn du ihn anklickst, erhält WhatsApp Daten wie deine IP-Adresse; schreibst du uns dort, erhalten wir deine Nummer, deinen Profilnamen und deine Nachrichten. Für seine eigene Verarbeitung ist WhatsApp selbst verantwortlich (whatsapp.com/legal/privacy-policy-eea). Möchtest du das nicht, nutze das Formular oder schreib uns eine E-Mail.

Aufträge und Bezahlung

Für Angebote und Aufträge verarbeiten wir, was wir für Abstimmung, Umsetzung, Rechnung und Nachweis brauchen, auch Zugänge und Inhalte, die du uns für das Projekt gibst (Art. 6 Abs. 1 lit. b DSGVO; für Rechnungen und Buchungsbelege die gesetzlichen Aufbewahrungspflichten, lit. c).

Den Projekt-Bauplan bezahlst du auf einer Bezahlseite von Stripe (Stripe Payments Europe, Limited, Dublin, Irland). Dort gibst du E-Mail-Adresse, Unternehmen, eine kurze Beschreibung deines Vorhabens und deine Zahlungsdaten ein; ohne sie ist keine Buchung möglich. Stripe wickelt die Zahlung in unserem Auftrag ab und verarbeitet Daten für eigene Zwecke wie die Betrugsvorbeugung als eigener Verantwortlicher (stripe.com/de/privacy); wählst du PayPal oder Link, sind PayPal bzw. Stripe dafür selbst verantwortlich. Wir erhalten deine Angaben, das gebuchte Paket und den Zahlungsstatus, nie deine vollständigen Karten- oder Kontodaten; über eingegangene Zahlungen informiert uns unser Server per E-Mail an unser eigenes Postfach. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO), bei einer Buchung für ein Unternehmen unser berechtigtes Interesse an der Abwicklung (lit. f).

Empfänger und Übermittlung außerhalb der EU

Daten erhalten nur die hier genannten Stellen: unser Hosting-Anbieter in Deutschland, OpenRouter mit dem jeweiligen Modellbetreiber (nur, wenn du den Chat nutzt), Stripe (nur bei einer Zahlung) und WhatsApp (nur, wenn du uns dort schreibst); darüber hinaus nur, wenn ein Auftrag es erfordert, etwa unsere Steuerberatung, oder ein Gesetz es verlangt. Wir verkaufen keine Daten.

In die USA gelangen Daten nur über diese Dienste. Beim Chat können OpenRouter und der Modellbetreiber deine Eingabe in den USA verarbeiten; OpenRouter ist nicht nach dem EU-US Data Privacy Framework zertifiziert, deshalb sichern wir das mit den Standardvertragsklauseln der EU-Kommission ab (Kopie auf Anfrage). Stripe kann Daten an die Stripe, LLC übermitteln, WhatsApp an die WhatsApp LLC und die Meta Platforms, Inc.; diese Unternehmen sind nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Behörden in den USA können dort Zugriff verlangen. Kontaktanfragen und E-Mails an uns verlassen Deutschland nicht.

Wie lange wir speichern

Server-Protokolle löschen wir nach spätestens 7 Tagen, und sie sind in keiner Datensicherung enthalten; Zähler gegen Missbrauch sind nach höchstens 61 Minuten weg, Chat-Inhalte speichern wir gar nicht. Kann das Formular eine Anfrage nicht sofort zustellen, bleibt sie bis zur Zustellung auf dem Server, längstens zwölf Monate. Anfragen, aus denen kein Auftrag wird, löschen wir spätestens zwölf Monate nach der letzten Nachricht. Bei Aufträgen gelten die gesetzlichen Fristen: Rechnungen und Buchungsbelege 8 Jahre, Geschäftsbriefe 6 Jahre, Bücher 10 Jahre (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG). Datensicherungen werden nach spätestens fünf Wochen überschrieben.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose Nachricht an info@harborbit.de genügt; wir antworten innerhalb eines Monats.

Dein Widerspruchsrecht

Verarbeitungen, die wir auf unser berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der für uns zuständigen: Der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Stand dieser Fassung: 17. Oktober 2026. Ändert sich etwas, passen wir diese Erklärung an.

Fragen zum Datenschutz?

Kontakt aufnehmen