Datenschutzerklärung · Hut Ab Agency

Hier steht, welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie behalten. Grundlage sind die Datenschutz-Grundverordnung (DSGVO), das österreichische Datenschutzgesetz (DSG) und § 165 Abs 3 Telekommunikationsgesetz 2021 (TKG 2021).

English version: Privacy Policy. Löschung von Daten beantragen: Anleitung zur Datenlöschung.

1. Verantwortlicher

Adrian Hutterer, Hut Ab Agency (Einzelunternehmen)
Margaretenstraße 71-73/1/24b
1050 Wien, Österreich
E-Mail: office@hut-ab-agency.com
Telefon: +43 664 144 7315
UID: ATU80655239

Einen Datenschutzbeauftragten müssen wir gesetzlich nicht bestellen und haben keinen. Für alle Datenschutzanliegen reicht eine Nachricht an office@hut-ab-agency.com.

2. Wofür diese Erklärung gilt

für den Besuch dieser Website und alle Formulare darauf (Punkte 3 bis 12),
für Daten, die wir über Schnittstellen von Meta (Facebook, Instagram) beziehen, wenn wir Werbekonten betreuen (Punkt 13),
für unsere Arbeit im Auftrag von Kunden (Punkt 14),
für Geschäftskontakte, die wir nicht bei dir selbst erhoben haben (Punkt 15).

3. Hosting und Server-Logs

Die Website läuft bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Bei jedem Aufruf verarbeitet Vercel technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, Browser und Betriebssystem sowie die zuvor besuchte Seite (Referrer).

Meldet dein Browser einen Verstoß gegen unsere Sicherheitsrichtlinie (Content Security Policy), protokollieren wir die betroffene Adresse und die blockierte Quelle, ohne IP-Adresse.

Zweck: Auslieferung der Website, Stabilität, Fehlersuche, Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist ein sicherer und funktionierender Betrieb.
Empfänger: Vercel als Auftragsverarbeiter (Art. 28 DSGVO).
Drittland: Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, falls der Beschluss wegfällt.
Speicherdauer: Logdaten höchstens 30 Tage, bei Sicherheitsvorfällen bis zu deren Klärung.

4. Reichweitenmessung ohne Cookies

Vercel Analytics

Wir zählen Seitenaufrufe mit Vercel Analytics. Der Dienst setzt keine Cookies und legt nichts auf deinem Gerät ab. Aus den Daten des Aufrufs (unter anderem IP-Adresse und Browserkennung) bildet Vercel einen Prüfwert, der nach höchstens 24 Stunden verworfen wird. IP-Adressen werden nicht gespeichert. Es entstehen keine Profile über Tage oder Websites hinweg, wir sehen nur zusammengefasste Zahlen: Seiten, Herkunft, Land, Gerätetyp.

Zweck: Verstehen, welche Seiten genutzt werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist eine statistische Auswertung ohne Wiedererkennung einzelner Personen.
Empfänger: Vercel als Auftragsverarbeiter.
Drittland: Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, falls der Beschluss wegfällt.
Widerspruch: jederzeit formlos an office@hut-ab-agency.com (Art. 21 DSGVO).

Eigene Besuchszählung

Zusätzlich zählt unser Server beim Abruf einer Seite mit, welche Seite aufgerufen wurde und woher der Besuch kommt: die Kampagnen-Angaben in der Adresse (utm_source, utm_medium, utm_campaign), ob eine Klick-ID von Meta oder Google enthalten ist (nur ja oder nein, nicht die ID selbst) oder, ohne solche Angaben, die Domain der vorherigen Seite. Browserkennung und Sprache werden im Moment des Aufrufs geprüft, um Suchmaschinen und Bots getrennt zu zählen, und danach verworfen.

Gespeichert wird nur ein Zähler je Tag, Seite und Herkunft. Keine IP-Adresse, keine Browserkennung, keine Kennung, mit der sich zwei Aufrufe derselben Person zuordnen ließen. Auf deinem Gerät wird nichts gespeichert. Ebenso zählen wir, wie oft der Cookie-Hinweis erscheint und welche Wahl getroffen wird (alle, nur notwendige, eigene Auswahl).

Auf Seiten mit Video oder Potenzial-Check meldet zusätzlich ein kleines Skript in deinem Browser einzelne Schritte an unseren Server, ebenfalls nur als Tageszähler ohne Kennung: ob ein Video gestartet und wie weit es angesehen wurde, welche Abschnitte zu sehen waren, wie weit gescrollt wurde, wie lange die Seite geöffnet war, welche Knöpfe und Fragen angeklickt wurden, welche Antwort im Potenzial-Check gewählt wurde, welche Kontaktfelder ausgefüllt wurden und ob eine abgeschickte Anfrage bei uns angekommen ist. Bei den Kontaktfeldern zählen wir nur, dass etwas eingetragen wurde, nie den Inhalt. Name, E-Mail und Telefonnummer erreichen uns erst, wenn du die Anfrage absendest. Zu jedem Zähler vermerken wir nur ja oder nein, ob der Besuch über eine Anzeige auf Facebook oder Instagram kam.

Zweck: Wissen, wie viele Besucher aus Anzeigen und Suche tatsächlich ankommen, wie der Cookie-Hinweis angenommen wird und an welcher Stelle der Seite oder des Potenzial-Checks Besucher aussteigen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Seite und Anzeigen zu verbessern) für den kurzen Moment, in dem Browserkennung und Referrer gelesen werden oder ein Schritt gemeldet wird. Die gespeicherten Zähler enthalten keine personenbezogenen Daten mehr.
Empfänger: Vercel als Auftragsverarbeiter für den Aufruf. Die Zähler liegen in einer Datenbank von Upstash, Inc. auf Servern in der EU; dorthin gehen keine personenbezogenen Daten.
Speicherdauer: Zähler 400 Tage, damit wir mit dem Vorjahr vergleichen können.
Widerspruch: jederzeit formlos an office@hut-ab-agency.com (Art. 21 DSGVO).

5. Formulare

Auf der Website gibt es sechs Formulare. Je nach Formular verarbeiten wir:

Kontaktformular: Name, E-Mail-Adresse, Nachricht (Pflicht), Firma und Telefonnummer (freiwillig).
Anfragen-Check: deine Antworten auf die Fragen (Region, Kapazität, heutige Anfragen, Stand der Website, Werbebudget), Name und Telefonnummer (Pflicht), Firma, E-Mail-Adresse und Website-Adresse (freiwillig). Gibst du eine E-Mail-Adresse an, bekommst du danach automatisch eine Bestätigung per E-Mail. Die angezeigte Einschätzung ergibt sich rechnerisch aus deinen Antworten.
Sichtbarkeits-Check und Videoanalyse: Domain und E-Mail-Adresse. Den Bericht erstellen wir von Hand und schicken ihn dir per E-Mail.
Conversion-Checkliste: E-Mail-Adresse (Pflicht), Name (freiwillig).
Rückruf-Wunsch (neben dem Buchungskalender): Name und Telefonnummer (Pflicht). Kommt der Wunsch aus dem Anfragen-Check, übernehmen wir Firma und E-Mail-Adresse von dort. Wir rufen dich zu deiner Anfrage an, im zugesagten Zeitfenster.

Bei jedem Absenden verarbeiten wir außerdem deine IP-Adresse (Schutz vor Missbrauch, begrenzt auf wenige Anfragen pro Stunde) und, falls vorhanden, über welche Kampagne du gekommen bist (Punkt 9). Die Pflichtangaben brauchen wir, um deine Anfrage zu bearbeiten. Ohne sie können wir nicht antworten. Eine gesetzliche Pflicht zur Angabe gibt es nicht.

Jede Anfrage legen wir als Kontakt in unserem CRM an (Punkt 7) und bekommen sie zusätzlich per E-Mail (Punkt 7). Wir melden uns nur zu deiner Anfrage. Einen Newsletter gibt es nicht, deine Daten verkaufen wir nicht.

Zweck: Beantwortung deiner Anfrage, Erstellung der angefragten Auswertung, Anbahnung eines Auftrags.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage). Für den Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO.
Empfänger: HighLevel (CRM) und Resend (E-Mail-Versand) als Auftragsverarbeiter, siehe Punkt 7. Mit deiner Marketing-Einwilligung zusätzlich Meta, siehe Punkt 9.
Speicherdauer: Kommt kein Auftrag zustande, löschen wir spätestens drei Jahre nach dem letzten Kontakt. Kommt einer zustande, gelten die gesetzlichen Aufbewahrungsfristen (sieben Jahre nach § 132 BAO).

Formulare direkt in Facebook und Instagram

In einigen unserer Anzeigen öffnet sich ein Formular direkt in der App (Sofortformular von Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland). Dort fragen wir, was auf dich zutrifft (Inhaber, Mitarbeiter oder Privatperson), wie viele Anlagen ihr zusätzlich montieren könnt und welches Werbebudget realistisch ist, dazu Name, Telefonnummer, E-Mail-Adresse und Postleitzahl. Meta füllt Angaben wie Name und E-Mail-Adresse aus deinem Profil vor, du kannst sie vor dem Absenden ändern. Gibst du an, eine Privatperson zu sein, endet das Formular ohne Absenden, und wir bekommen keine Daten.

Nach dem Absenden übernehmen wir deine Angaben in unser CRM (Punkt 7), schicken dir per E-Mail eine erste Einschätzung (Punkt 7) und melden uns telefonisch oder per E-Mail zu deiner Anfrage. Für die Daten aus dem Formular sind Meta und wir jeweils eigene Verantwortliche. Meta speichert die Angaben auch selbst und nutzt sie nach seiner Datenschutzrichtlinie, zum Beispiel um künftige Formulare vorauszufüllen.

Zweck: Beantwortung deiner Anfrage, Anbahnung eines Auftrags.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage).
Empfänger: Meta als eigener Verantwortlicher für das Formular, HighLevel und Resend als Auftragsverarbeiter (Punkt 7).
Drittland: Meta übermittelt Daten auch in die USA und ist unter dem EU-US Data Privacy Framework zertifiziert.
Speicherdauer: bei uns wie oben. Wie lange Meta die Angaben speichert, regelt Metas Datenrichtlinie.

6. Terminbuchung

Auf der Seite „Strategiegespräch buchen“ und nach dem Anfragen-Check ist ein Kalender von LeadConnector eingebunden (HighLevel Inc., 400 N Saint Paul St #920, Dallas, TX 75201, USA). Er wird geladen, wenn du die Buchungsseite öffnest oder den Anfragen-Check abgeschlossen hast. Dabei erhält HighLevel deine IP-Adresse und Browserdaten. Buchst du einen Termin, verarbeitet HighLevel in unserem Auftrag Name, E-Mail-Adresse, Telefonnummer und den gewählten Termin und schickt dir Bestätigung und Erinnerungen.

Im Kalender ist unser Meta Pixel eingebunden. Schließt du eine Buchung ab, meldet der Kalender das Ereignis „Termin gebucht“ an Meta Platforms Ireland Limited und übermittelt dabei Name, E-Mail-Adresse und Telefonnummer als SHA-256-Prüfwert sowie IP-Adresse und Browserdaten. Meta gleicht die Werte mit eigenen Konten ab. Das geschieht im Kalender selbst und unabhängig von deiner Auswahl im Cookie-Banner dieser Website. Wenn du das nicht möchtest, vereinbare den Termin bitte per E-Mail an office@hut-ab-agency.com. Zu Meta siehe auch Punkt 9.

Zweck: Vereinbarung und Durchführung des Gesprächs. Beim Meta Pixel im Kalender: messen, welche Anzeigen zu gebuchten Terminen führen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Das Laden des Kalenders ist für die von dir gewünschte Buchung unbedingt erforderlich (§ 165 Abs 3 TKG 2021). Für die Meldung an Meta Art. 6 Abs. 1 lit. f DSGVO (Erfolgsmessung unserer Werbung). Du kannst jederzeit widersprechen.
Empfänger: HighLevel als Auftragsverarbeiter, Meta für die Meldung gebuchter Termine.
Drittland: Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, falls der Beschluss wegfällt.
Speicherdauer: wie bei den Formularen (Punkt 5).

7. CRM und E-Mail-Versand

CRM: Anfragen, Buchungen und den weiteren Austausch führen wir in HighLevel (Anschrift siehe Punkt 6). Gespeichert werden deine Angaben aus dem Formular, Notizen zum Gespräch und die Herkunft der Anfrage. Die Daten liegen auf Servern in den USA. Mit HighLevel besteht ein Auftragsverarbeitungsvertrag.

E-Mail: Benachrichtigungen über neue Anfragen und die Bestätigung nach dem Anfragen-Check oder dem Sofortformular (Punkt 5) versenden wir über Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Resend verarbeitet dafür E-Mail-Adresse und Inhalt der Nachricht auf Servern in den USA. Mit Resend besteht ein Auftragsverarbeitungsvertrag.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Wahl der Dienstleister Art. 6 Abs. 1 lit. f DSGVO (verlässliche Bearbeitung von Anfragen).
Drittland: Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, falls der Beschluss wegfällt.

8. Spam-Schutz (reCAPTCHA)

Unsere Formulare sind mit Google reCAPTCHA v3 geschützt (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Das Skript wird erst geladen, wenn du in ein Formularfeld klickst oder ein Formular absendest, nicht beim bloßen Besuch der Seite. reCAPTCHA bewertet anhand von IP-Adresse, Browserdaten und deinem Verhalten auf der Seite, ob ein Mensch oder ein Programm das Formular ausfüllt, und setzt dafür das Cookie _GRECAPTCHA. Beim Absenden prüft unser Server das Ergebnis bei Google. Zusätzlich nutzen wir ein unsichtbares Köderfeld und eine Begrenzung der Anfragen pro IP-Adresse.

Google handelt dabei seit 2. April 2026 ausschließlich als unser Auftragsverarbeiter und verwendet die Daten nur für den Betrieb und die Sicherheit von reCAPTCHA.

Zweck: Schutz der Formulare vor automatisiertem Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Der Spam-Schutz ist Teil des Formulars, das du ausdrücklich nutzt (§ 165 Abs 3 TKG 2021).
Empfänger: Google als Auftragsverarbeiter, mit Unterauftragsverarbeitung in den USA.
Drittland: Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, falls der Beschluss wegfällt.
Alternative: Wenn du das nicht möchtest, schreib uns direkt an office@hut-ab-agency.com.

9. Dienste, die nur mit deiner Einwilligung laufen

Die folgenden Dienste starten erst, wenn du im Cookie-Banner zustimmst. Lehnst du ab oder wählst nichts aus, werden sie nicht geladen, es werden keine zugehörigen Cookies gesetzt, und auch unser Server schickt dazu nichts an Dritte. Die einzige Ausnahme ist die Meldung gebuchter Termine durch den Buchungskalender (Punkt 6). Deine Auswahl kannst du jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen. Der Widerruf wirkt ab diesem Zeitpunkt.

Kategorie „Analyse“: Microsoft Clarity

Clarity (Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA) zeigt uns, wie die Website bedient wird: Heatmaps (Klicks, Scrolltiefe) und Aufzeichnungen einzelner Sitzungen (Mausbewegungen, Klicks, Scrollen). Eingaben in Formularfelder werden maskiert. Verarbeitet werden IP-Adresse, Geräte- und Browserdaten und dein Verhalten auf der Seite. Clarity setzt die Cookies _clck und _clsk. Microsoft verwendet die Daten auch für eigene Zwecke, etwa zur Verbesserung seiner Dienste. Mehr dazu in der Datenschutzerklärung von Microsoft.

Kategorie „Marketing“: Meta Pixel und Conversions API

Anbieter ist Meta Platforms Ireland Limited, Block J, Serpentine Avenue, Dublin 4, Irland. Damit messen wir, welche Anzeigen auf Facebook und Instagram zu Anfragen führen, und können Anzeigen Personen zeigen, die unsere Website besucht haben.

Meta Pixel (im Browser): meldet Seitenaufrufe, den Start des Anfragen-Checks und abgesendete Formulare an Meta. Setzt die Cookies _fbp und _fbc. Gebuchte Termine meldet der Buchungskalender selbst, siehe Punkt 6.
Conversions API (von unserem Server): meldet dieselben Ereignisse zusätzlich serverseitig, damit sie nicht doppelt oder gar nicht gezählt werden. Übermittelt werden IP-Adresse, Browserkennung, Adresse der Seite, die Kennungen aus _fbp und _fbc und eine Ereignis-ID. Bei einem abgesendeten Formular kommen E-Mail-Adresse, Telefonnummer und Name dazu, jeweils als SHA-256-Prüfwert und nicht im Klartext. Meta gleicht diese Werte mit eigenen Konten ab.
Herkunft deines Besuchs (eigenes Cookie hutab-attr): Kommst du über eine Anzeige oder einen Link mit Kampagnenangaben, speichern wir beim ersten Besuch Kampagne, Anzeige, Klick-ID (fbclid, gclid, msclkid), Einstiegsseite und die verweisende Website für 90 Tage. Sendest du ein Formular ab, legen wir diese Angaben zu deiner Anfrage im CRM ab. Ohne Einwilligung speichern wir nichts davon auf deinem Gerät. Steht die Kampagne noch in der Adresse der Seite, von der du das Formular absendest, übernehmen wir nur diese Kampagnenangaben, ohne Klick-ID.

Für das Erheben der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu findest du im Controller Addendum von Meta. Wir informieren dich und holen deine Einwilligung ein. Für alles, was Meta danach mit den Daten macht, ist Meta allein verantwortlich. Deine Rechte dazu kannst du direkt bei Meta geltend machen, Angaben dazu stehen in der Datenschutzrichtlinie von Meta. Für Abgleich, Messung und Auswertung handelt Meta als unser Auftragsverarbeiter (Data Processing Terms).

Unabhängig von unserer Website kannst du personalisierte Werbung abwählen: in den Werbeeinstellungen deines Facebook- oder Instagram-Kontos sowie über youronlinechoices.eu und aboutads.info/choices.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs 3 TKG 2021).
Drittland: Microsoft und Meta übermitteln Daten auch in die USA. Beide sind unter dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten EU-Standardvertragsklauseln. Ein Zugriff durch US-Behörden lässt sich nicht ganz ausschließen.
Speicherdauer: _clck 12 Monate, _clsk 1 Tag, _fbp und _fbc 90 Tage, hutab-attr 90 Tage. Bei Widerruf löscht das Banner diese Cookies.

Google Analytics, Google Ads und der Google Tag Manager sind auf dieser Website derzeit nicht im Einsatz.

10. Cookies und lokaler Speicher

cc_cookie (notwendig, 6 Monate): speichert deine Auswahl im Cookie-Banner.
_GRECAPTCHA (Google, 6 Monate): nur wenn du ein Formular nutzt, siehe Punkt 8.
_clck, _clsk (Microsoft Clarity): nur mit Einwilligung „Analyse“.
_fbp, _fbc (Meta) und hutab-attr (von uns): nur mit Einwilligung „Marketing“.
Sitzungsspeicher deines Browsers: zwei Merker ohne Personenbezug, die mit dem Schließen des Tabs verschwinden. Einer hält fest, dass du über einen Kampagnenlink gekommen bist, damit die Seite die passende Kopfzeile zeigt. Der andere verhindert, dass eine Buchung beim Neuladen doppelt gezählt wird.

11. Eingebettete Inhalte: YouTube und Google Maps

Videos kommen von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) im erweiterten Datenschutzmodus (youtube-nocookie.com). Die Vorschaubilder liegen auf unserem eigenen Server. Erst wenn du ein Video anklickst, wird der Player geladen und Google erhält deine IP-Adresse und Browserdaten, auch in den USA.

Die Anfahrtskarte auf der Kontaktseite (Google Maps) wird erst geladen, wenn du auf „Karte laden“ klickst. Auch dann erhält Google deine IP-Adresse.

Rechtsgrundlage: deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs 3 TKG 2021). Sie gilt für diesen Seitenaufruf.
Drittland: Übermittlung in die USA auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO). Zusätzlich sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart, falls der Beschluss wegfällt.
Mehr dazu: Datenschutzerklärung von Google

12. Schriftarten

Alle Schriftarten liegen auf unserem eigenen Server. Es gibt keinen Abruf bei Google Fonts.

13. Daten aus Schnittstellen von Meta (Platform Data)

Wir betreuen Werbekonten auf Facebook und Instagram, unser eigenes und die unserer Kunden. Für Auswertungen beziehen wir Daten über die offiziellen Schnittstellen von Meta (Marketing API, Graph API, Meta Ads Connector), zuletzt über unsere interne App „Hut Ab - Ads“. Die App hat keine öffentlichen Nutzer. Zugriff haben nur wir, und nur auf Konten, für die uns der Inhaber im Meta Business Manager Zugriff gegeben hat.

Welche Daten wir beziehen

Kennung und Name des Werbekontos, Währung, Status,
Namen, Einstellungen und Status von Kampagnen, Anzeigengruppen und Anzeigen,
Leistungswerte in zusammengefasster Form: Ausgaben, Impressionen, Reichweite, Frequenz, Klicks, Ergebnisse und Kosten je Ergebnis,
Texte, Bilder und Videos der Anzeigen,
öffentlich einsehbare Anzeigen anderer Werbetreibender aus der Meta Ad Library,
Zugriffstoken für die Schnittstelle.

Wir beziehen darüber keine Profildaten von Facebook- oder Instagram-Nutzern, keine Daten aus Lead-Formularen, keine Nachrichten und keine Kommentare. Zugangsdaten zu Meta-Konten fragen wir nie ab.

Wie und wofür wir sie verarbeiten

Die Daten rufen wir höchstens einmal täglich ab, speichern sie je Kunde getrennt und erstellen daraus Berichte und Empfehlungen für genau dieses Werbekonto. Bei der Auswertung unterstützt uns ein KI-Assistent (Claude von Anthropic PBC, San Francisco, USA). Wir nutzen die Daten nicht, um Profile von Personen zu bilden oder anzureichern, nicht für Retargeting, nicht für andere Kunden, und wir verkaufen oder lizenzieren sie nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden), für unser eigenes Werbekonto Art. 6 Abs. 1 lit. f DSGVO. Soweit Kundendaten personenbezogen sind, handeln wir als Auftragsverarbeiter (Punkt 14).
Weitergabe: nur an den jeweiligen Kunden, an technische Dienstleister, die wir für Auswertung und Speicherung einsetzen (Anthropic für die Auswertung, GitHub für Versionsverwaltung und Sicherung der Berichte in einem privaten Repository), oder wenn ein Gesetz es verlangt. An Anthropic gehen dabei nur Kampagnen- und Leistungsdaten, keine Daten einzelner Personen.
Speicherdauer: Rohdaten aus der Schnittstelle 13 Monate. Berichte für die Dauer der Zusammenarbeit. Nach deren Ende löschen wir alle Daten des Kunden binnen 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Zugriffstoken löschen wir sofort.
Sicherheit: verschlüsselte Übertragung, verschlüsselter Datenträger, Zugriff nur durch den Inhaber, Token getrennt vom Code und nie in Berichten oder Chats.

Löschung verlangen: Kunden und alle anderen Betroffenen können jederzeit die Löschung dieser Daten verlangen. Wie das geht, steht in der Anleitung zur Datenlöschung. Wir bestätigen den Eingang binnen drei Werktagen und löschen binnen 30 Tagen. Den Zugriff auf ein Werbekonto kann der Inhaber außerdem jederzeit selbst im Meta Business Manager unter „Partner“ entziehen.

Wir halten die Meta Platform Terms und die Developer Policies ein. Diese Erklärung ändert oder ersetzt sie nicht. Was Meta selbst mit Daten macht, regelt die Datenschutzrichtlinie von Meta.

14. Arbeit im Auftrag von Kunden

Wenn wir für Kunden Werbekonten, Landingpages, CRM-Zugänge oder Anfragen ihrer Interessenten betreuen, verarbeiten wir diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Weisung des Kunden. Verantwortlich bleibt der Kunde. Für Auskunft und Löschung wende dich bitte an das Unternehmen, bei dem du angefragt hast. Erreicht uns ein solches Anliegen, leiten wir es weiter.

15. Geschäftskontakte aus öffentlichen Quellen

Für unsere Marktübersicht führen wir eine Liste von Betrieben in Wien, Niederösterreich und dem Burgenland, vor allem aus Photovoltaik und Handwerk. Die Angaben stammen aus öffentlich zugänglichen Quellen: den Unternehmenseinträgen bei Google Maps und den Websites der Betriebe (Impressum). Erhoben haben wir sie im April und September 2026.

Daten: Firmenname, Anschrift, Branche, Website, allgemeine Telefonnummer und E-Mail-Adresse des Betriebs, Kategorie sowie Anzahl und Schnitt der Google-Bewertungen. Bei Einzelunternehmen kann das ein personenbezogenes Datum sein.
Zweck: Marktübersicht und Auswahl von Betrieben für eine geschäftliche Kontaktaufnahme. Werbliche Anrufe und E-Mails gibt es nur mit vorheriger Einwilligung (§ 174 TKG 2021).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist die Anbahnung von Geschäftsbeziehungen mit Unternehmen anhand von Angaben, die diese selbst veröffentlicht haben.
Empfänger: keine Weitergabe an Dritte.
Speicherdauer: bis zum Widerspruch, sonst zwei Jahre nach der Erhebung.
Widerspruch: jederzeit formlos an office@hut-ab-agency.com. Wir löschen den Eintrag dann und merken nur vor, dass wir dich nicht mehr aufnehmen.

16. Empfänger im Überblick

Vercel Inc., USA: Hosting, Reichweitenmessung
Upstash, Inc., USA, Server in der EU: Speicher für die Besuchs- und Nutzungszähler, ohne personenbezogene Daten
HighLevel Inc., USA: CRM, Terminbuchung
Plus Five Five, Inc. (Resend), USA: E-Mail-Versand
Google Ireland Limited, Irland: reCAPTCHA, nach Klick YouTube und Google Maps
Microsoft Corporation, USA: Clarity, nur mit Einwilligung
Meta Platforms Ireland Limited, Irland: Pixel und Conversions API, nur mit Einwilligung; Sofortformulare in Facebook und Instagram (Punkt 5)
Anthropic PBC, USA: Auswertung von Werbekonto-Daten (Punkt 13)
GitHub, Inc., USA: Sicherung von Berichten in einem privaten Repository (Punkt 13)
Steuerberatung, Bank und Behörden, soweit gesetzlich nötig

Alle genannten US-Anbieter geben an, unter dem EU-US Data Privacy Framework zertifiziert zu sein. Eine Kopie der vereinbarten Standardvertragsklauseln bekommst du auf Anfrage an office@hut-ab-agency.com.

17. Deine Rechte

Auskunft über deine Daten (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen (Art. 21 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine formlose Nachricht an office@hut-ab-agency.com genügt. Wir antworten binnen eines Monats. Die Schritte für eine Löschung stehen in der Anleitung zur Datenlöschung.

18. Beschwerde bei der Aufsichtsbehörde

Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
dsb.gv.at

19. Automatisierte Entscheidungen

Es gibt keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO). Die Einschätzung im Anfragen-Check ist eine einfache Berechnung aus deinen Antworten und hat keine Folgen für dich.

20. Sicherheit

Die Website ist ausschließlich über HTTPS erreichbar. Formulare sind gegen Spam und Missbrauch abgesichert, Daten aus der Kundenarbeit liegen auf verschlüsselten Datenträgern. Wenn du eine Sicherheitslücke findest, schreib bitte an office@hut-ab-agency.com.

21. Änderungen

Wir passen diese Erklärung an, wenn sich die Rechtslage oder unsere Dienste ändern. Es gilt die Fassung auf dieser Seite.

Stand: 8. Oktober 2026.