Datenschutzerklärung.

Verantwortlicher & Kontakt

P&A Development GmbH
Schloßstraße 8, 74388 Talheim, Deutschland

Telefon: +49 15679 297000
E-Mail: info@pandadev.de

Datenschutzbeauftragter: nicht bestellt (gesetzlich derzeit nicht erforderlich).

Je nach Nutzungskontext handeln wir als Verantwortlicher (Art. 4 Nr. 7 DSGVO) oder als Auftragsverarbeiter (Art. 28 DSGVO).

Zuständige Aufsichtsbehörde

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Königstraße 10a, 70173 Stuttgart, Deutschland

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Rechtsgrundlagen & Begriffe

Rechtsgrundlagen (Auszug)

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag/vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse
• Art. 9 Abs. 2 DSGVO – besondere Kategorien (sofern einschlägig)
• § 25 TDDDG – Endgerätezugriffe (Cookies, Local Storage etc.)

Begriffe

• Personenbezogene Daten: Informationen zu identifizierten/identifizierbaren Personen
• Verarbeitung: jeder Umgang mit Daten (Erheben, Speichern, Übermitteln, Löschen)
• Profiling: automatisierte Auswertung persönlicher Aspekte
• ADM: automatisierte Entscheidungen im Einzelfall (Art. 22 DSGVO) – findet bei uns nicht statt

Hosting & Infrastruktur

Diese Website wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet. Beim Aufruf unserer Website verarbeitet Vercel u. a. Server-Logfiles (IP-Adresse, Zeitstempel, User-Agent, Referrer) zur Sicherstellung von Betrieb, Sicherheit und Fehleranalyse. Vercel setzt Edge-Server weltweit ein; die Datenverarbeitung kann daher auch außerhalb der EU stattfinden. Übermittlungen in die USA stützen wir auf EU-Standardvertragsklauseln (Art. 46 DSGVO) und – soweit einschlägig – auf das EU-US Data Privacy Framework. Mit Vercel besteht ein Data Processing Addendum (Art. 28 DSGVO).

Weitere Systeme (KI-Plattform, Backend-Dienste) werden überwiegend in der EU bei IONOS SE (Elgendorfer Str. 57, 56410 Montabaur) sowie in der IONOS Cloud betrieben. Mit IONOS besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Falls Endgerätezugriff nötig: zusätzlich § 25 Abs. 1 TDDDG (Einwilligung).

Verarbeitungskontexte

1) Website

Datenkategorien: IP-Adresse, Datum/Uhrzeit, aufgerufene Seiten/Dateien, Referrer-URL, Browser/OS, ggf. Cookie-IDs/Local-Storage-IDs; Angaben aus Formularen (Name, E-Mail, Nachricht); Consent-Protokolle.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. f DSGVO (Betrieb/Sicherheit), Art. 6 Abs. 1 lit. b DSGVO (Formulare, Anbahnung), Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (nicht notwendige Cookies/Technologien).

SSL/TLS: Transportverschlüsselung ist aktiv.

2) Apps

Eigene Apps: Verantwortlicher sind wir. White-Label/Kundenapps: regelmäßig Verarbeitung als Auftragsverarbeiter (Art. 28 DSGVO) auf Weisung des Auftraggebers.

Daten: Geräte-ID, OS-/App-Version, IP, Zeitstempel; Nutzungsevents; ggf. Accountdaten (Name, E-Mail); Berechtigungen (Kamera, Fotos, Mikrofon, Standort, Push-Token) nur nach System-Einwilligung; Crash/Diagnose (Stacktraces, Performance).

Zwecke: Bereitstellung vertraglicher Funktionen, Stabilität/Sicherheit, optionale Komfort-Features.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Funktion), Art. 6 Abs. 1 lit. a DSGVO (optionale Telemetrie/Push), Art. 6 Abs. 1 lit. f DSGVO (Sicherheit/Fehlerbehebung).

Kontolöschung: in-App oder per Anfrage an uns; gesetzliche Aufbewahrungen bleiben unberührt.

3) Kundenspezifische Software/SaaS (B2B)

Wir handeln regelmäßig als Auftragsverarbeiter (Art. 28 DSGVO) für Geschäftskunden (Verantwortliche). Grundlage ist ein AV-Vertrag; in Einzelfällen gemeinsame Verantwortlichkeit (Art. 26 DSGVO).

Zwecke: Entwicklung, Betrieb, Wartung; Hosting, Backup, Logging, Monitoring, Security; Support/Troubleshooting.

Daten: Stamm-/Kontaktdaten, Vertrags-/Abrechnungsdaten, Nutzungs-/Protokolldaten, geschäftsbezogene Objektdaten gemäß Systemzweck.

Subprozessoren: nur vertraglich und mit geeigneten Garantien.

Löschung: gemäß Weisung/Vertrag (Löschkonzept, Backup-Zyklen, Log-Fristen, Export-/Rückgabe zum Vertragsende).

4) KI-Automatisierung (z. B. n8n-Workflows, LLM-Integrationen)

In Kundenprojekten sind wir regelmäßig Auftragsverarbeiter (AVV). Eigene KI-Features betreiben wir als Verantwortlicher.

Zwecke: Prozessautomatisierung/Orchestrierung, Texterzeugung, Klassifikation, Extraktion, semantische Suche (RAG), Assistenz/Chatbots, Datenanreicherungen.

Daten: Prompts/Dokumente/Kontexte, generierte Ausgaben, Protokoll-/Fehlerdaten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vertraglich), Art. 6 Abs. 1 lit. f DSGVO (Optimierung/Sicherheit), Art. 6 Abs. 1 lit. a DSGVO (optionale externe LLMs).

Eingesetzte/zulässige Anbieter (projektspezifisch): Azure OpenAI (Microsoft), OpenAI, Google AI (Gemini), Anthropic, Mistral.

Hosting Automationsplattform: n8n self-hosted bei IONOS Cloud (EU).

Qualitätshinweis: KI-Ausgaben können Fehler enthalten; Prüfung vor produktiver Nutzung ist erforderlich.

Cookies & Consent

Wir nutzen ein eigenes, selbst gehostetes Consent-Tool (Consent-Banner). Es speichert Ihre Auswahl ausschließlich lokal in Ihrem Browser (Local Storage). Es werden dabei keine Daten an Dritte übermittelt. Notwendige Technologien dienen Betrieb/Sicherheit und benötigen keine Einwilligung. Statistik (Google Analytics, Microsoft Clarity) und Marketing (Google Ads, Meta-Pixel, OpenAI-Pixel) laden wir erst nach Ihrer aktiven Einwilligung; vorher werden weder die jeweiligen Skripte geladen noch Daten an die Anbieter übertragen.

Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen" (Consent-Banner) ändern/widerrufen.

Eigene Nutzungsstatistik (ohne Cookies)

Wir erfassen mit einer selbst entwickelten Lösung auf unseren eigenen Systemen, wie unsere Website genutzt wird: welche Seiten aufgerufen werden, wie weit gescrollt wird, welche Abschnitte, Schaltflächen und Links angeklickt werden, ob ein Kontaktformular angezeigt, begonnen oder abgeschickt wurde, wie lange ein Besuch dauert, ob der Cookie-Hinweis bestätigt oder abgelehnt wurde, sowie technische Angaben zum Gerät (Gerätetyp, Betriebssystem- und Browserfamilie ohne Versionsnummern, Größe des Browserfensters, Spracheinstellung, Ladezeiten) und zur Herkunft des Besuchs (verweisende Seite, Kampagnenparameter wie UTM-Werte oder eine Google-Klick-ID aus der aufgerufenen Adresse). Zweck ist, Bedienprobleme zu finden und die Website sowie unsere Werbeanzeigen zu verbessern.

Was dabei ausdrücklich nicht erfasst wird: Ihre IP-Adresse wird weder gespeichert noch ausgewertet. Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Gerät gespeichert; es gibt keine Wiedererkennung über mehrere Besuche oder Geräte hinweg. Eingaben in Formularfelder werden nicht erfasst, festgehalten wird lediglich, ob ein Feld ausgefüllt wurde. Kopierter oder markierter Text wird nicht übertragen, sondern nur, ob es sich um unsere Telefonnummer oder E-Mail-Adresse handelte. Es findet keine Übermittlung an Werbe- oder Analysedienste Dritter statt.

Jeder Besuch erhält eine zufällige Sitzungskennung, die nur im Arbeitsspeicher Ihres Browsers gehalten wird und mit dem Schließen oder Neuladen der Seite verfällt. Schicken Sie uns über ein Formular eine Anfrage, speichern wir diese Kennung zusammen mit der Anfrage, um nachvollziehen zu können, über welchen Weg eine Anfrage zustande kam. Setzt Ihr Browser das Signal „Do Not Track“ oder „Global Privacy Control“, findet keine Erfassung statt.

• Rechtsgrundlage: berechtigtes Interesse an der Analyse und Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert.
• Widerspruch: jederzeit über die Browser-Einstellung „Do Not Track“ bzw. „Global Privacy Control“ oder formlos per E-Mail an info@pandadev.de.
• Empfänger: keine Übermittlung an Dritte; die Daten liegen in unserer eigenen Datenbank bei unserem Hosting-Dienstleister (siehe Hosting & Infrastruktur).
• Speicherdauer: Rohdaten werden spätestens nach 12 Monaten gelöscht.

Webanalyse (Google Analytics)

Wir nutzen Google Analytics (Google Ireland Limited) zur Reichweitenmessung/Optimierung. IP-Anonymisierung ist aktiviert (Maskierung in der EU). In Ausnahmefällen kann es zu Übermittlungen in die USA kommen; diese stützen wir auf EU-Standardvertragsklauseln und – soweit einschlägig – auf das EU-US Data Privacy Framework.

• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG)
• Widerruf: jederzeit im Consent-Banner; zusätzlich Opt-out-Add-on: https://tools.google.com/dlpage/gaoptout
• Speicherdauer (z. B. _ga): 24 Monate

Webanalyse (Microsoft Clarity)

Wir nutzen Microsoft Clarity (Microsoft Ireland Operations Limited). Clarity zeichnet auf, wie Besucher unsere Seiten bedienen, als Heatmaps (wo geklickt und wie weit gescrollt wird) und als Sitzungswiedergabe (der Ablauf einer Sitzung als nachgestellte Bildschirmaufzeichnung). Wir setzen das ein, um Bedienprobleme zu finden: etwa ob eine Seite zu langsam lädt, ob Besucher wichtige Inhalte nicht erreichen oder ob sie an unserem Kontaktformular scheitern.

Was dabei ausdrücklich nicht erfasst wird: Clarity maskiert Eingaben in Formularfeldern und Auswahllisten grundsätzlich und unveränderbar, was Sie in ein Feld tippen, verlässt Ihr Gerät nicht. Zusätzlich haben wir sämtliche Formulare unserer Website im Quelltext als zu maskieren gekennzeichnet (data-clarity-mask), sodass auch umliegende Inhalte nicht übertragen werden. Es findet keine Aufzeichnung Ihres Bildschirms statt; die Wiedergabe wird aus Struktur- und Interaktionsdaten rekonstruiert.

Das Clarity-Skript wird erst nach Ihrer Einwilligung in die Kategorie „Statistik“ geladen; vorher werden weder Daten an Microsoft übertragen noch Cookies gesetzt. Ihren Einwilligungsstatus übermitteln wir zusätzlich über die Clarity Consent API v2. Microsoft nutzt Clarity-Daten nach eigenen Angaben auch für Microsoft Advertising. Deshalb übermitteln wir das Signal ad_Storage nur dann als „granted“, wenn Sie zusätzlich in die Kategorie „Marketing“ eingewilligt haben, andernfalls „denied“, womit die werbebezogenen Drittanbieter-Cookies unterbleiben. Hierbei können personenbezogene Daten in die USA übertragen werden; dies stützen wir auf EU-Standardvertragsklauseln und – soweit einschlägig – auf das EU-US Data Privacy Framework.

• Verarbeitete Daten: Seitenaufrufe und Verweildauer, Maus-, Klick- und Scrollbewegungen, Bildschirmgröße, Geräte- und Browser-Informationen, ungefährer Standort (Land/Region), Referrer, IP-Adresse, pseudonyme Kennungen in Cookies (u. a. _clck, _clsk).
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG)
• Widerruf: jederzeit über „Cookie-Einstellungen“ im Footer (Consent-Banner). Bei Widerruf löscht Clarity gesetzte Cookies und beendet die laufende Sitzung.
• Speicherdauer: Sitzungswiedergaben 30 Tage; aggregierte Interaktionsdaten und markierte Sitzungen 9 Monate (Angaben von Microsoft)
• Weitere Informationen: Microsoft-Datenschutzerklärung

Marketing (Google Ads Conversion-Tracking)

Wir nutzen Google Ads mit Conversion-Tracking (Google Ireland Limited), um den Erfolg unserer Werbeanzeigen in der Google-Suche und im Google-Werbenetzwerk zu messen (z. B. ob nach einem Anzeigenklick eine Kontaktanfrage erfolgt). Der zugehörige Google-Tag wird erst nach Ihrer Einwilligung in die Kategorie „Marketing" geladen; zusätzlich übermitteln wir an Google die Signale des Google Consent Mode v2, die Ihren Einwilligungsstatus abbilden. Hierbei können personenbezogene Daten in die USA übertragen werden; dies stützen wir auf EU-Standardvertragsklauseln und – soweit einschlägig – auf das EU-US Data Privacy Framework.

• Verarbeitete Daten: Seitenaufrufe, Conversion-Ereignisse, Geräte-/Browser-Informationen, IP-Adresse, Klick-Kennungen (z. B. GCLID), Cookies (z. B. _gcl_aw).
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG)
• Widerruf: jederzeit über „Cookie-Einstellungen" im Footer (Consent-Banner)
• Speicherdauer (z. B. _gcl_aw): 90 Tage

Marketing (Meta-Pixel)

Wir nutzen den Meta-Pixel (Meta Platforms Ireland Limited). Damit messen wir den Erfolg unserer Werbeanzeigen auf Facebook/Instagram sowie Kontaktanfragen (z. B. Klick auf „Jetzt kontaktieren"/„Angebot anfordern"). Hierbei können personenbezogene Daten an Meta übermittelt und in die USA übertragen werden; dies stützen wir auf EU-Standardvertragsklauseln und – soweit einschlägig – auf das EU-US Data Privacy Framework. Für die Verarbeitung über den Pixel besteht eine gemeinsame Verantwortlichkeit mit Meta (Art. 26 DSGVO).

• Verarbeitete Daten: Seitenaufrufe, ausgelöste Ereignisse (z. B. „Lead"), Geräte-/Browser-Informationen, IP-Adresse, ggf. Meta-Nutzerkennung.
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG)
• Widerruf: jederzeit über „Cookie-Einstellungen" im Footer (Consent-Banner)
• Weitere Informationen: Datenschutzrichtlinie von Meta

Marketing (OpenAI-Pixel)

Wir nutzen das Measurement Pixel von OpenAI. Damit messen wir, ob Besucher, die über eine unserer Anzeigen in ChatGPT zu uns kommen, anschließend Kontakt aufnehmen (abgeschicktes Anfrageformular oder Klick auf Telefon, WhatsApp oder E-Mail). Dabei können personenbezogene Daten an OpenAI übermittelt und in die USA übertragen werden; dies stützen wir auf EU-Standardvertragsklauseln und – soweit einschlägig – auf das EU-US Data Privacy Framework.

Schicken Sie mit dieser Einwilligung ein Anfrageformular ab, melden wir die Anfrage zusätzlich direkt von unserem Server an OpenAI (Conversions API). Das stellt sicher, dass die Anfrage auch dann gezählt wird, wenn Ihr Browser den Pixel blockiert. Übermittelt werden dabei nur das Ereignis „Anfrage", Zeitpunkt und Seite, die Kennung des Anzeigenklicks, die Browser-Kennung des Pixels (__obref), Ihre IP-Adresse und die Browserkennung (User-Agent) — keine Formularinhalte, kein Name und keine E-Mail-Adresse.

• Verarbeitete Daten: Seitenaufrufe (Adresse und Titel der Seite), ausgelöste Ereignisse („lead_created" bei abgeschickter Anfrage, „contact_click" bei Klick auf Telefon, WhatsApp oder E-Mail), Kennung eines Anzeigenklicks in ChatGPT, Geräte-/Browser-Informationen, IP-Adresse.
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG)
• Widerruf: jederzeit über „Cookie-Einstellungen" im Footer (Consent-Banner)
• Weitere Informationen: Datenschutzrichtlinie von OpenAI

Kontakt (E-Mail/Telefon/WhatsApp)

Bei Kontaktaufnahme verarbeiten wir Ihre Angaben zur Bearbeitung/Beantwortung. Für WhatsApp-Kontakt (freiwillig) gelten zusätzlich die Datenschutzinformationen von WhatsApp Ireland/Meta (E2E-Verschlüsselung der Inhalte; Metadatenverarbeitung möglich).

Wenn Sie uns über ein Formular auf dieser Website schreiben, speichern wir mit Ihrer Anfrage zusätzlich, über welchen Weg Sie auf unsere Seite gekommen sind: die Seite, auf der Sie eingestiegen sind, die Seite, auf der Sie das Formular abgeschickt haben, die verweisende Website (nur Domain und Pfad) sowie gegebenenfalls Kampagnenangaben aus dem Link (z. B. utm_source oder die Google-Ads-Klick-ID). Diese Angaben liest die Seite aus der Adresse und dem Seitenaufruf aus; es wird dafür nichts auf Ihrem Gerät gespeichert, und übermittelt wird nur zusammen mit einer Anfrage, die Sie selbst absenden. Wir nutzen die Angaben, um zu verstehen, über welche Kanäle Anfragen zu uns kommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Vertrag) oder lit. f DSGVO (allgemeine Anfragen). Für die Herkunftsangaben: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung unserer Marketingkanäle).

Social-Media-Auftritte (Instagram/LinkedIn)

Wir betreiben Unternehmensseiten bei Instagram und LinkedIn. Für „Page/Insights" besteht eine gemeinsame Verantwortlichkeit mit dem jeweiligen Anbieter (Art. 26 DSGVO). Anbieter verarbeiten u. a. Nutzungs-/Interaktionsdaten; wir erhalten aggregierte Statistiken. Nähere Informationen entnehmen Sie den Datenschutzhinweisen der Plattformen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Datenübermittlungen in Drittländer & Garantien

Sofern erforderlich, stützen wir Übermittlungen in Drittländer (außerhalb des EWR) auf geeignete Garantien nach Art. 46 DSGVO (insb. EU-Standardvertragsklauseln). Soweit Anbieter nach dem EU-US Data Privacy Framework zertifiziert sind, kann dies ergänzend als Übermittlungsmechanismus dienen.

Wesentliche Auftragsverarbeiter (Sub-Prozessoren)

Projekt-spezifische Subprozessoren (z. B. für Apps/KI) werden gegenüber Kunden vertraglich benannt.

Speicherdauer & Löschung

Nach Zweckerreichung/Widerruf/Widerspruch werden Daten gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Ihre Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21), insbesondere gegen Direktwerbung/Profiling
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) mit Wirkung für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Bitte richten Sie Anfragen an info@pandadev.de und nennen Sie möglichst den Kontext (Website/App/Software/KI).

Sicherheit (Art. 32 DSGVO)

• Zugriffs-/Zutritts-/Zugangskontrollen (RBAC, Least-Privilege, MFA)
• Transport-/Speicherverschlüsselung, Schlüsselmanagement
• Systemhärtung, Patch-Management, Firewall/WAF, Rate-Limiting
• Protokollierung/Monitoring, Backup-/Recovery-Tests
• Lieferantenmanagement, AVV/Sub-Prozessor-Kontrollen
• Privacy by Design/Default, Datenminimierung, Löschkonzepte

Bewerbungen

Wir verarbeiten Bewerberdaten (Kontakt-/Stammdaten, Unterlagen, Korrespondenz) zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses. Nicht berücksichtigte Bewerbungen löschen wir in der Regel 6 Monate nach Abschluss des Verfahrens, sofern keine Einwilligung zur längeren Aufbewahrung (Talentpool) vorliegt.

• § 26 BDSG
• Art. 6 Abs. 1 lit. b DSGVO
• Talentpool (optional): Art. 6 Abs. 1 lit. a DSGVO

Newsletter

Wir versenden derzeit keinen Newsletter. Sollte sich dies ändern, informieren wir hier vorab transparent über Dienstanbieter, Double-Opt-In, Widerrufs- und Löschfristen.

Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Rechtslage, Technologien oder unsere Prozesse ändern. Maßgeblich ist die jeweils aktuelle Fassung auf dieser Seite.

Stand: 06.10.2026