Datenschutzerklärung

Stand: 4. Oktober 2026

1. Verantwortlicher

irsali.de · Osama Zein · Klufterstraße 93 · 53175 Bonn
Telefon: 0163 4770456
E-Mail: info@irsali.de

IRSALI (irsali.de) und SIMO (simo-facility.de) haben denselben Verantwortlichen. Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen (Art. 37 DSGVO, § 38 BDSG). Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.

2. Hosting, Server-Protokolle und Missbrauchsschutz

Website, Formulare und unsere Kundenverwaltung laufen auf einem angemieteten Server (VPS) der Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaka, Zypern. Serverstandort ist Deutschland. Hostinger stellt nur den Server bereit und verarbeitet die Daten ausschließlich in unserem Auftrag (Art. 28 DSGVO); den Server selbst betreiben und verwalten wir.

Von den Daten auf diesem Server legen wir täglich eine verschlüsselte Sicherungskopie an, die ebenfalls auf unserem Server in Deutschland gespeichert wird. Eine Kopie dieser verschlüsselten Sicherungen bewahren wir zusätzlich auf einem eigenen Rechner in Deutschland auf; entschlüsseln können sie nur wir. Jede Sicherungskopie löschen wir nach 14 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist es, Datenverlust zu vermeiden.

Beim Aufruf einer Seite speichert der Webserver technisch notwendige Angaben in Protokolldateien: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, verweisende Seite und Browserkennung. Das dient der Auslieferung der Seite, der Fehlersuche und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb der Website. Die Protokolle löschen wir nach 14 Tagen, es sei denn, ein konkreter Sicherheitsvorfall muss noch aufgeklärt werden.

Damit unsere Formulare und Werkzeuge (Abschnitte 4, 6 und 7) nicht massenhaft missbraucht werden, begrenzen wir die Zahl der Anfragen je IP-Adresse. Dazu speichern wir die IP-Adresse zusammen mit dem Zeitpunkt der Anfrage und löschen beides nach 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

3. Keine Cookies, kein Tracking, lokale Einstellungen

Diese Website verwendet keine Cookies und keine Analyse- oder Tracking-Werkzeuge. Schriftarten und alle übrigen Dateien liegen auf unserem eigenen Server; beim Seitenaufruf wird keine Verbindung zu Servern anderer Anbieter aufgebaut.

Im lokalen Speicher Ihres Browsers (localStorage) legen wir nur zwei Einstellungen ab, die Sie selbst auslösen: ob Sie die helle oder dunkle Darstellung gewählt haben, und für 7 Tage, dass Sie den Hinweisbalken oben auf der Seite geschlossen haben. Diese Angaben verlassen Ihren Browser nicht und werden nicht an uns übertragen. Eine Einwilligung ist dafür nicht nötig, weil die Speicherung für die von Ihnen gewünschte Funktion unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können die Einträge jederzeit über die Einstellungen Ihres Browsers löschen.

4. Kontaktformular

Die Angaben aus dem Kontaktformular (Name, E-Mail-Adresse und/oder Telefonnummer, Firma, Nachricht) übermittelt Ihr Browser direkt an unseren Server; dort speichern wir sie in unserer Kundenverwaltung. Ein externer Formulardienst ist nicht zwischengeschaltet. Wir nutzen die Angaben, um Ihre Anfrage zu bearbeiten und ein mögliches Angebot vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfrage zur Anbahnung eines Vertrags).

Stammt Ihre E-Mail-Adresse von einer Firmendomain, rufen wir unmittelbar nach dem Absenden die öffentlich erreichbare Startseite dieser Domain ab und werten technische Merkmale aus (zum Beispiel, ob ein Kontaktformular oder ein Shop-System erkennbar ist). Daraus ergibt sich eine interne Einordnung, wie gut unsere Leistungen zu Ihrem Anliegen passen. Sie hilft uns, Anfragen schneller zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine zügige, passende Antwort. Über Ihre Anfrage entscheidet immer ein Mensch (siehe Abschnitt 12).

Herkunft der Anfrage: Enthält der Link, über den Sie zu uns gekommen sind, ein kurzes Kürzel (zum Beispiel „?k=li“), speichern wir dieses Kürzel zusammen mit Ihrer Anfrage. So sehen wir, über welchen Weg Anfragen eintreffen. Das Kürzel steht nur in der Adresse des Links; es werden dafür keine Cookies gesetzt, keine Dienste Dritter eingebunden und keine weiteren Daten über Sie erhoben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Wirksamkeit unserer Kanäle zu beurteilen.

Die Angaben im Formular sind weder gesetzlich noch vertraglich vorgeschrieben. Ohne Namen und einen Kontaktweg können wir Ihre Anfrage allerdings nicht beantworten.

Kommt kein Auftrag zustande, löschen wir die Daten spätestens 12 Monate nach dem letzten Kontakt. Kommt ein Auftrag zustande, gelten die Fristen aus Abschnitt 11.

5. Einsatz von KI-Diensten

Wir nutzen KI-Dienste, um Antwort- und Angebotsentwürfe vorzuformulieren, eingehende E-Mails einzuordnen (zum Beispiel Anfrage, Abwesenheitsnotiz oder Abmeldung) und recherchierte Unternehmen nach ihrer Passung zu bewerten und öffentlich eingestellte Gesuche zusammenzufassen. Dazu übermitteln wir den jeweiligen Text und die dafür nötigen Angaben an einen der unten genannten Anbieter. Kein Entwurf verlässt unser Haus ungeprüft: Jede Nachricht wird vor dem Versand von einem Menschen gelesen, bei Bedarf geändert und einzeln freigegeben. Einzige Ausnahme ist die Chat-Demo in Abschnitt 7, die Sie selbst bedienen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um Ihre Anfrage oder einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung unserer Korrespondenz und Geschäftsanbahnung).

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Gemini API). Wir nutzen das kostenfreie Kontingent der Gemini API. Für Nutzer im Europäischen Wirtschaftsraum gelten nach den Nutzungsbedingungen von Google auch dafür die Datenregeln der bezahlten Dienste: Google verwendet die Daten nicht zum Training und verarbeitet sie nach seinem Auftragsverarbeitungsvertrag. Google kann die Daten in Rechenzentren außerhalb der EU verarbeiten, insbesondere bei Google LLC in den USA; dies stützt sich auf das EU-US Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln (Art. 45, Art. 46 Abs. 2 lit. c DSGVO).
• Groq, Inc., USA. Groq verwendet Eingaben und Ausgaben vertraglich nicht zum Training. Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Groq (Art. 46 Abs. 2 lit. c DSGVO).
• Mistral AI SAS, Paris, Frankreich. Die Verarbeitung erfolgt in der EU. Ein Training mit unseren Daten ist abgeschaltet. Zur Erkennung von Missbrauch kann Mistral Ein- und Ausgaben in eigener Verantwortung speichern.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Workers AI). Diesen Anbieter setzen wir künftig zusätzlich ein, und zwar nur als Reserve, wenn die übrigen Dienste ausgelastet sind. Cloudflare verwendet die Inhalte nicht zum Training. Die Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Cloudflare (Art. 45, Art. 46 Abs. 2 lit. c DSGVO).

Anbieter mit Sitz in Staaten ohne angemessenes Datenschutzniveau und ohne geeignete Garantien setzen wir für personenbezogene Daten nicht ein.

6. Domain-Scan und Hub-Demo

Mit unserem Domain-Scan können Sie eine Website-Adresse prüfen lassen. Unser Server ruft dazu die öffentlich erreichbare Startseite dieser Domain ab und wertet nur technische Merkmale aus. Es findet keine Anmeldung, keine Formulareingabe und kein Test von Sicherheitsmechanismen statt. Ergebnis und Domain speichern wir nicht in unserer Kundenverwaltung. Für die anschließende Hub-Demo halten wir das Ergebnis 3 Minuten im Arbeitsspeicher des Servers bereit; danach wird es verworfen. Für den Missbrauchsschutz gilt Abschnitt 2. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, Ihnen auf Ihre Anfrage hin eine Vorführung unseres Angebots zu zeigen.

7. Vorschauseiten und Chat-Demo

Für einzelne Unternehmen erstellen wir eine persönliche Vorschauseite unseres Company Hubs, die nur über einen zufällig erzeugten Link erreichbar ist, nicht in Suchmaschinen erscheint und sichtbar als Beispielansicht gekennzeichnet ist. Echt sind darauf nur Firmenname, Domain und die Ergebnisse des Scans aus Abschnitt 6. Die Grundlagen für diese Daten nennt Abschnitt 8. Eine Vorschauseite läuft 60 Tage nach ihrer Erstellung ab und wird danach gelöscht.

Zu manchen Vorschauseiten gehört eine Chat-Demo. Sie beantwortet Fragen ausschließlich anhand öffentlich zugänglicher Seiten des jeweiligen Shops. Diese Chat-Demo ist derzeit deaktiviert. Sobald sie wieder verfügbar ist, chatten Sie dort mit einem KI-System, nicht mit einem Menschen; die Antworten werden ohne vorherige menschliche Prüfung angezeigt. Ihre Frage und die Shop-Auszüge würden dann an Groq oder Mistral (Abschnitt 5) übermittelt, nicht an das kostenfreie Kontingent von Google Gemini. Ihre Fragen speichern wir nicht; für den Missbrauchsschutz gilt Abschnitt 2. Bitte geben Sie im Chat keine personenbezogenen Daten ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Vorführung unseres Angebots).

8. Geschäftsanbahnung und Recherche von Unternehmenskontakten

Wir suchen gezielt nach Unternehmen, für die unsere Leistungen passen könnten, und prüfen dafür öffentlich zugängliche Angaben. Dabei verarbeiten wir Firmenname, Anschrift bzw. Ort, Branche, geschäftliche Kontaktdaten (Telefon, E-Mail-Adresse, Website), bei Bedarf den Namen einer Ansprechperson, öffentlich erkennbare technische Merkmale der Website sowie den Anlass unserer Recherche, zum Beispiel ein öffentliches Gesuch, eine Stellenanzeige oder eine Ausschreibung. Bei Einzelunternehmen kann bereits der Firmenname ein personenbezogenes Datum sein.

Quellen: Einträge bei Google Maps (Google Places API) und Treffer der Google-Websuche, die Startseite, die Kontaktseite und das Impressum der jeweiligen Website, Stellenanzeigen in der Jobbörse der Bundesagentur für Arbeit, Projekte auf Freelance-Plattformen (freelancer.com sowie Benachrichtigungen des Projektagenten von freelancermap.de), öffentliche Gesuche in sozialen Netzwerken (zum Beispiel in Facebook-Gruppen) und öffentliche Ausschreibungen. Aus Google Maps speichern wir nur die Kennung des Eintrags; Kontaktdaten übernehmen wir von der Website Ihres Unternehmens. Welche Quelle wir für Ihre Daten genutzt haben, teilen wir Ihnen auf Nachfrage mit.

Zweck und Rechtsgrundlage: Anbahnung von Aufträgen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Gewinnung von Geschäftskunden (Erwägungsgrund 47 DSGVO). In der Interessenabwägung berücksichtigen wir, dass wir nur geschäftliche und öffentlich zugängliche Angaben nutzen, keine unaufgeforderte E-Mail-Werbung versenden und die Daten nach festen Fristen löschen. Zur internen Bewertung siehe Abschnitt 12.

Keine unaufgeforderte E-Mail-Werbung: Ohne Ihre vorherige Einwilligung senden wir Ihnen keine Werbung per E-Mail. Per E-Mail schreiben wir Ihnen nur, wenn Sie selbst angefragt haben, wenn Sie auf eine Nachricht von uns geantwortet haben, wenn wir auf Ihr öffentliches Gesuch, Ihre Ausschreibung oder Ihr Projekt auf einer Plattform antworten oder wenn Sie uns Ihre Einwilligung gegeben haben, zum Beispiel am Telefon.

Speicherdauer: Haben wir Sie nicht kontaktiert, löschen oder anonymisieren wir Ihre Daten 6 Monate nach der Erhebung. Haben wir Sie kontaktiert und kommt kein Auftrag zustande, geschieht das 12 Monate nach dem letzten Kontakt. Nach der Anonymisierung bleiben nur Firmenangaben ohne Personenbezug erhalten. Ist der Firmenname selbst personenbezogen (Einzelunternehmen), löschen wir auch ihn. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Sperrliste: Widersprechen Sie, nehmen wir Sie in eine Sperrliste auf; sie sperrt zugleich alle Adressen Ihrer Firmendomain (außer bei allgemeinen E-Mail-Anbietern wie gmx.de). Ihre Adresse speichern wir dort nicht im Klartext, sondern dauerhaft nur als Prüfsumme (Hash) von E-Mail-Adresse und Firmendomain, zusammen mit dem Datum, der Geschäftsbezeichnung und dem Kanal Ihres Widerspruchs. Die Sperrliste gilt gemeinsam für beide Geschäftsbezeichnungen IRSALI und SIMO und dient allein dazu, Sie nicht erneut anzusprechen (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. b DSGVO).

9. E-Mail-Verkehr

Unser Postfach info@irsali.de liegt bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, die für uns als Auftragsverarbeiter tätig ist. Damit Anfragen und Antworten vollständig beim richtigen Vorgang landen, gleicht unser Server die ein- und ausgehenden Nachrichten dieses Postfachs per IMAP ab und speichert sie in unserer Kundenverwaltung. Eingehende Nachrichten ordnen wir mit Hilfe der KI-Dienste aus Abschnitt 5 ein, etwa als Anfrage, Abwesenheitsnotiz oder Abmeldung; eine Abmeldung setzen wir sofort auf die Sperrliste. Ausgehende Nachrichten verschicken wir erst, nachdem ein Mensch sie geprüft und freigegeben hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Anfrage oder einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO (geordnete Bearbeitung unserer Korrespondenz). Mails, die keinem Vorgang zugeordnet werden können, speichern wir höchstens 30 Tage. Zur Speicherdauer siehe Abschnitt 11.

10. Angebote, Aufträge, Rechnungen und Zahlung

Für Angebote, Aufträge und Rechnungen verarbeiten wir Name und Anschrift des Auftraggebers, Ansprechperson, Leistungsbeschreibung, Beträge und die zugehörige Korrespondenz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und, soweit wir Unterlagen aufbewahren müssen, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG. Buchhaltungsunterlagen geben wir an unseren Steuerberater weiter.

Für Anzahlungen (zum Beispiel für einen Pilot-Sprint) nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Wenn Sie über einen von uns bereitgestellten Zahlungslink bezahlen, werden die dafür erforderlichen Daten (Zahlungsdaten, Name, E-Mail-Adresse) direkt an Stripe übermittelt. Stripe verarbeitet Zahlungsdaten überwiegend in eigener Verantwortung und kann Daten an Stripe, Inc. in den USA übermitteln; Grundlage ist das EU-US Data Privacy Framework (Art. 45 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe.

11. Speicherdauer im Überblick

• Anfragen ohne Auftrag, recherchierte und angeschriebene Kontakte: wie in Abschnitt 4 und 8 beschrieben (6 bzw. 12 Monate)
• Angebote ohne Auftrag, einschließlich der Angebotsdatei: 12 Monate nach dem letzten Kontakt
• Auftragskorrespondenz und angenommene Angebote: 6 Jahre ab Ende des Kalenderjahres (§ 147 AO)
• Rechnungen: 8 Jahre ab Ende des Kalenderjahres (§ 14b UStG, § 147 AO)
• Sonstige Kommunikation mit Kunden: 3 Jahre ab Ende des Jahres des letzten Kontakts (Verjährungsfrist, §§ 195, 199 BGB)
• Kopien der E-Mails aus dem Postfachabgleich (Volltext): 90 Tage nach Eingang; gehört die E-Mail zu einem Angebot, Auftrag oder einer Rechnung, gilt die Frist dieses Vorgangs; Mails ohne zuordenbaren Vorgang: höchstens 30 Tage
• Protokoll der menschlichen Freigaben (welche Nachricht wann freigegeben wurde): 3 Jahre
• Server-Protokolle: 14 Tage; IP-Adressen für den Missbrauchsschutz: 24 Stunden
• Verschlüsselte Datensicherungen: 14 Tage
• Sperrliste: dauerhaft, beschränkt auf die Angaben aus Abschnitt 8

12. Bewertung und Priorisierung (Profiling), keine automatisierte Entscheidung

Wir bewerten Anfragen und recherchierte Unternehmen teilweise automatisiert, auch mit Hilfe der KI-Dienste aus Abschnitt 5, danach, wie gut unsere Leistungen passen könnten (zum Beispiel anhand der Branche und technischer Merkmale der Website). Die Bewertung bestimmt nur, in welcher Reihenfolge wir Vorgänge bearbeiten. Ob und wie wir Sie ansprechen oder Ihnen ein Angebot machen, entscheidet immer ein Mensch. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung, die Sie uns gegeben haben, zum Beispiel am Telefon, können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Wenden Sie sich dazu formlos an die Kontaktdaten in Abschnitt 1.

Löschen wir Ihre Daten auf Ihren Antrag hin, behalten wir nur eine Prüfsumme (Hash) Ihrer E-Mail-Adresse in der Sperrliste aus Abschnitt 8, damit wir Sie nicht erneut ansprechen. Unterlagen, die wir gesetzlich aufbewahren müssen (zum Beispiel Rechnungen, Auftragsunterlagen und die zugehörigen Geschäftsbriefe), löschen wir erst nach Ablauf der Fristen aus Abschnitt 11; bis dahin sperren wir sie für jede andere Verwendung (Art. 17 Abs. 3 lit. b, Art. 18 DSGVO).

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, Telefon 0211 38424-0, Beschwerdeformular.