Datenschutzerklärung
1. Verantwortlicher
Klaus Schöppler
LuckySeven, Design und Development
Baaderstr. 7, 80469 München, Deutschland
E-Mail: hello@luckyseven.agency
Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des § 38 BDSG liegen derzeit nicht vor.
2. Welche Daten wir verarbeiten
Wir verarbeiten Daten in fünf Zusammenhängen. Wer nur die Website besucht, ist ausschließlich vom ersten Punkt betroffen.
- Besuch der Website: IP-Adresse, Browsertyp, Betriebssystem, Referrer, Hostname und Uhrzeit der Anfrage in den Server-Protokollen.
- Kontakt und Terminanfrage: Name, E-Mail-Adresse, Unternehmen, Telefonnummer und der Inhalt deiner Nachricht.
- Nutzerkonto und Kauf: E-Mail-Adresse, Anmeldedaten, Name und Firma, soweit du sie angegeben hast oder dein Anmeldedienst den Namen mitliefert, Rechnungsanschrift, gekaufte Leistungen, Guthaben und Zahlungsvorgänge.
- Analyse einer Website: die von dir angegebene Adresse, die dort abgerufenen öffentlich erreichbaren Inhalte, Bildschirmaufnahmen der Seiten, technische Messwerte und die daraus erzeugten Ergebnisse.
- Geschäftliche Erstansprache: Name, Funktion und geschäftliche E-Mail-Adresse einer Ansprechperson in einem Unternehmen, das wir direkt anschreiben, bei einer Ansprache auf LinkedIn zusätzlich der Link zum LinkedIn-Profil und der Wortlaut unserer Nachrichten (Abschnitt 4).
Die geprüfte Website kann personenbezogene Daten enthalten, etwa Namen in Impressum, Team-Seiten oder Bewertungen. Diese Inhalte werden mit abgerufen und verarbeitet. Wir suchen nicht gezielt nach personenbezogenen Daten und werten sie nicht eigenständig aus.
3. Was bei einer Analyse passiert
Für eine Analyse ruft unser System die angegebene Website automatisiert auf, lädt öffentlich erreichbare Seiten, erstellt Bildschirmaufnahmen und bildet typische Besucherwege nach. Diese Zugriffe erscheinen in den Server- und Analysedaten der geprüften Website.
Teile der Auswertung übernehmen Sprachmodelle. Dafür werden Bildschirmaufnahmen und Seitentexte an die in Abschnitt 6 genannten Anbieter übermittelt. Kontodaten und Zahlungsdaten werden dabei nicht übermittelt.
Wer eine Analyse startet, sichert uns zu, dass er dazu berechtigt ist. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Soweit Inhalte Dritter mit abgerufen werden, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO, mit dem berechtigten Interesse an der Erbringung der beauftragten Analyse.
4. Geschäftliche Erstansprache
Wir schreiben gelegentlich Unternehmen direkt an, für die unsere Leistungen fachlich passen können, etwa Agenturen, die Onlineshops betreuen. Wenn du eine solche Nachricht per E-Mail oder auf LinkedIn bekommen hast, steht hier, was wir dafür verarbeiten.
- Daten: Name und Funktion der Ansprechperson, geschäftliche E-Mail-Adresse, Firmenname und Website, der Anlass der Nachricht und ob und wie geantwortet wurde. Bei einer Ansprache auf LinkedIn zusätzlich der Link zu deinem LinkedIn-Profil und der Wortlaut der Nachrichten, die wir dir dort geschickt haben.
- Quelle: öffentlich zugängliche Angaben des Unternehmens selbst, vor allem Impressum, Team- und Referenzseiten sowie Partnerverzeichnisse, daneben Presseberichte über das Unternehmen. Wir kaufen keine Adresslisten und nutzen keine Adressdatenbanken. Einen Link zu einem LinkedIn-Profil übernehmen wir nur, wenn das Unternehmen ihn auf seiner eigenen Website angibt, oder wir suchen das Profil von Hand und tragen es selbst ein. Kein Programm von uns ruft LinkedIn ab.
- Zweck und Rechtsgrundlage: eine geschäftliche Anfrage per E-Mail mit wenigen kurzen Nachfassungen oder auf LinkedIn mit einer Vernetzungsanfrage, nach deren Annahme einer Nachricht und höchstens einer Nachfassung. Auf LinkedIn senden wir jede Nachricht selbst von Hand, kein Programm greift auf ein LinkedIn-Konto zu. Grundlage ist unser berechtigtes Interesse an der Anbahnung einer Geschäftsbeziehung (Art. 6 Abs. 1 lit. f DSGVO).
- Empfänger: der Anbieter unseres E-Mail-Postfachs sowie Anthropic (Claude), das wir für die Recherche und für Entwürfe einsetzen. Für Anthropic gilt die Übermittlung in die USA wie in Abschnitt 7 beschrieben. Eine Nachricht auf LinkedIn läuft über LinkedIn Ireland Unlimited Company in Dublin, die für ihren Dienst selbst verantwortlich ist.
- Speicherdauer: Ohne Antwort löschen wir die Angaben zu deiner Person, auf LinkedIn samt Profil-Link und gesendeten Texten, spätestens 30 Tage nach der letzten Nachricht. Haben wir dich nie angeschrieben, löschen wir sie spätestens 90 Tage, nachdem wir sie erfasst haben. Wenn du antwortest, gilt per E-Mail die Frist für Kontaktanfragen aus Abschnitt 8; auf LinkedIn löschen wir die Angaben 180 Tage nach deiner letzten Antwort oder unserem letzten Gespräch. Wird aus dem Kontakt ein Auftrag, gelten die Fristen für Nutzerkonto und Rechnungen aus Abschnitt 8. Die Domain des Unternehmens und den Verlauf ohne Angaben zu deiner Person behalten wir für die Auswertung unserer Ansprache und damit wir dasselbe Unternehmen auf LinkedIn nicht ein zweites Mal ansprechen.
Wenn du ein Konto bei uns hast, einen Audit gemacht und nichts gekauft hast, sprechen wir dich gelegentlich auf LinkedIn an. Wir fragen, was dir gefehlt hat. Weil wir dich damit als Kunden gewinnen wollen, ist das Werbung. Dafür nutzen wir deinen Namen und deine Firma aus deinem Konto, soweit vorhanden, und die Adresse der zuletzt geprüften Website, um dein LinkedIn-Profil von Hand zu finden. Es gelten derselbe Ablauf, dieselben Fristen und dasselbe Widerspruchsrecht wie oben; mit den Angaben zu deiner Person löschen wir auch den Verweis auf dein Konto. Grundlage ist unser berechtigtes Interesse, das Produkt zu verbessern und dich als Kunden zu gewinnen (Art. 6 Abs. 1 lit. f DSGVO).
Widerspruch gegen Werbung: Du kannst dieser Ansprache jederzeit und ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Eine kurze Antwort auf die Nachricht genügt, ebenso eine Nachricht an hello@luckyseven.agency. Danach schreiben wir dich nicht mehr an, weder per E-Mail noch auf LinkedIn. Damit das so bleibt, behalten wir in einer Sperrliste nur die Domain deines Unternehmens, das Datum und den Hinweis auf den Widerspruch.
Deine weiteren Rechte und das Beschwerderecht stehen in den Abschnitten 9 und 10.
5. Reichweitenmessung und Cookies
Wir setzen keine Cookies zu Werbezwecken und binden keine Werbenetzwerke ein. Für die Reichweitenmessung nutzen wir Plausible Analytics. Plausible setzt keine Cookies und bildet keine Kennung einzelner Personen; es entstehen nur zusammengefasste Werte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
Technisch notwendige Cookies für die Anmeldung am Nutzerkonto setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG, ohne dass dafür eine Einwilligung erforderlich ist.
6. Eingesetzte Dienstleister
Die folgenden Anbieter verarbeiten Daten in unserem Auftrag oder erhalten Daten von uns.
Vercel
Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA
Betrieb und Auslieferung der Website und der Anwendung. Dabei fallen Server-Protokolle mit IP-Adresse, Browsertyp, Betriebssystem, Referrer, Hostname und Uhrzeit an.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Betrieb des Nutzerkontos, Art. 6 Abs. 1 lit. f DSGVO für den sicheren Betrieb der Website.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
Supabase
Supabase Inc., 970 Toa Payoh North, Singapur
Datenbank, Anmeldung und Dateiablage. Hier liegen Kontodaten, Anfragen aus dem Kontaktformular, Analyseaufträge und Analyseergebnisse einschließlich der Bildschirmaufnahmen geprüfter Seiten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Datenbank wird in einer Region innerhalb der EU betrieben. Ein Zugriff aus Drittländern durch den Anbieter im Rahmen von Wartung und Support ist nicht ausgeschlossen; Grundlage sind die Standardvertragsklauseln der EU-Kommission.
Railway
Railway Corp., 2261 Market Street, San Francisco, CA 94114, USA
Betrieb der Hintergrundverarbeitung, die einen Audit ausführt. Dort werden Analyseaufträge, abgerufene Seiteninhalte und Zwischenergebnisse verarbeitet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
Stripe
Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, mit Stripe Inc., South San Francisco, USA
Abwicklung von Zahlungen und Rechnungsstellung. Stripe erhält Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Betrugsvermeidung zusätzlich Art. 6 Abs. 1 lit. f DSGVO.
Eine Übermittlung an die Konzerngesellschaft in den USA ist möglich. Grundlage sind die Standardvertragsklauseln der EU-Kommission.
Unsplash
Unsplash Inc., Ottawa, Kanada
Beispielbilder in erzeugten Gestaltungsvorschlägen. Beim Anzeigen einer Vorschau wird die IP-Adresse des Betrachters an Unsplash übertragen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil die Vorschau Teil der beauftragten Leistung ist.
Für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission für dem PIPEDA unterliegende Organisationen.
Resend
Resend Inc., 2261 Market Street, San Francisco, CA 94114, USA
Versand von E-Mails zum Vertrag, etwa Bestätigungen, Statusmeldungen und Rechnungen. Resend erhält E-Mail-Adresse, Name und den Inhalt der Nachricht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
Anthropic (Claude)
Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA
Auswertung der geprüften Website. Übermittelt werden Bildschirmaufnahmen, Seitentexte und technische Messwerte der geprüften Website sowie die Aufgabenstellung. Kontodaten des Nutzers werden nicht übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
OpenAI (je nach Analyseumfang)
OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117 Upper Sheriff Street, Dublin 1, Irland
Ergänzende Auswertungen, unter anderem die Sichtbarkeit einer Marke in KI-Antworten und die Erzeugung von Personenbildern für Testpersonen. Übermittelt werden die dafür nötigen Inhalte der geprüften Website.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Eine Übermittlung an die Konzerngesellschaft in den USA ist möglich. Grundlage sind die Standardvertragsklauseln der EU-Kommission.
Google (je nach Analyseumfang)
Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland
Messung der Ladezeiten über PageSpeed Insights und die Chrome-Nutzererfahrungsdaten sowie ergänzende Auswertungen über Gemini. Übermittelt wird die Adresse der geprüften Seite und, bei den Auswertungen, deren Inhalt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Eine Übermittlung an Google LLC in den USA ist möglich. Grundlage sind die Standardvertragsklauseln der EU-Kommission.
OpenRouter (je nach Analyseumfang)
OpenRouter Inc., 1111B S Governors Ave, Dover, DE 19904, USA
Vermittlung von Anfragen an Sprachmodelle, wenn ein Modell nicht direkt angebunden ist. Übermittelt werden die Inhalte der jeweiligen Auswertung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
Perplexity (je nach Analyseumfang)
Perplexity AI Inc., 115 Sansome St, San Francisco, CA 94104, USA
Recherche zu Markt und Wettbewerb mit Belegstellen aus dem Web. Übermittelt werden die Suchfragen einschließlich Marken- und Domainnamen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
Tavily (je nach Analyseumfang)
Tavily AI Inc., New York, USA
Websuche für Marktdaten. Übermittelt werden die Suchfragen einschließlich Marken- und Domainnamen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
ScrapFly (je nach Analyseumfang)
ScrapFly Inc., 2261 Market Street, San Francisco, CA 94114, USA
Abruf der geprüften Website über einen fremden Browser, wenn die Website unseren direkten Zugriff blockiert. Übermittelt wird die Adresse der Seite; ScrapFly ruft die Seite ab und liefert deren Inhalt zurück.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
ScreenshotOne (je nach Analyseumfang)
ScreenshotOne LLC, Wilmington, DE, USA
Erstellung von Bildschirmaufnahmen der geprüften Website, wenn der eigene Abruf scheitert. Übermittelt wird die Adresse der Seite.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit der Anbieter nicht nach dem EU-US Data Privacy Framework zertifiziert ist.
Microsoft 365 (je nach Analyseumfang)
Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin 18, Irland
Anbindung des Kalenders für die Terminvereinbarung, sofern ein Konto verbunden wird. Übermittelt werden Termindaten und die verbundene Kennung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Eine Übermittlung an Microsoft Corporation in den USA ist möglich. Grundlage sind die Standardvertragsklauseln der EU-Kommission.
Plausible Analytics
Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland
Reichweitenmessung der Website ohne Cookies und ohne Kennung einzelner Personen. Es entstehen nur zusammengefasste Werte.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer datensparsamen Reichweitenmessung.
Die Verarbeitung findet innerhalb der EU statt.
Anbieter mit dem Zusatz „je nach Analyseumfang“ setzen wir nur ein, wenn die jeweilige Auswertung Teil der gebuchten Leistung ist oder eine Website unseren direkten Zugriff blockiert.
7. Übermittlung in Drittländer
Bei den folgenden Anbietern werden Daten außerhalb der EU und des EWR verarbeitet oder es ist ein Zugriff aus einem Drittland möglich: Vercel, Supabase, Railway, Stripe, Unsplash, Resend, Anthropic (Claude), OpenAI, Google, OpenRouter, Perplexity, Tavily, ScrapFly, ScreenshotOne, Microsoft 365.
Für diese Übermittlungen bestehen die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, soweit sich der Anbieter nicht auf einen Angemessenheitsbeschluss der EU-Kommission stützen kann. Ein Angemessenheitsbeschluss besteht für in den USA ansässige Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind.
Trotz dieser Garantien lässt sich nicht ausschließen, dass Behörden im Drittland auf die Daten zugreifen und dass die dort bestehenden Rechtsbehelfe nicht denen in der EU entsprechen. Eine Kopie der Garantien stellen wir auf Anfrage bereit.
8. Speicherdauer
- Server-Protokolle: 30 Tage, danach Löschung.
- Kontakt- und Terminanfragen: bis zur Erledigung, danach sechs Monate zur Beantwortung von Rückfragen.
- Geschäftliche Erstansprache ohne Antwort: spätestens 30 Tage nach der letzten Nachricht, auf LinkedIn einschließlich Profil-Link und gesendeter Texte; nie angeschrieben: 90 Tage nach der Erfassung; mit Antwort auf LinkedIn: 180 Tage nach der letzten Antwort oder dem letzten Gespräch, außer bei Kunden. Die Sperrliste (Domain des Unternehmens, Datum, Grund und Herkunft des Eintrags): solange wir Unternehmen direkt anschreiben.
- Nutzerkonto und Analyseergebnisse: bis zur Löschung des Kontos. Nach Ablauf einer bezahlten Laufzeit werden gespeicherte Analysedaten nach 30 Tagen gelöscht.
- Rechnungen und Buchungsbelege: zehn Jahre nach § 147 AO und § 257 HGB. Diese Aufbewahrungspflicht geht einem Löschverlangen vor.
- Nachweis der Zustimmung zu AGB und Haftungshinweisen: bis zum Ablauf der Verjährungsfristen möglicher Ansprüche.
9. Deine Rechte
Du hast jederzeit das Recht auf:
- Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO)
Zur Ausübung genügt eine Nachricht an hello@luckyseven.agency.
10. Beschwerderecht
Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 27, 91522 Ansbach.
11. Pflicht zur Bereitstellung
Die Angabe von E-Mail-Adresse und Rechnungsdaten ist für den Vertragsschluss erforderlich. Ohne diese Angaben können wir keinen Vertrag schließen und keine Leistung erbringen. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO mit rechtlicher Wirkung gegenüber dir findet nicht statt.
Stand: Oktober 2026