Datenschutzerklärung

Stand: 16. Oktober 2026

1. Verantwortlicher

KYTH. Systems UG (haftungsbeschränkt)
Stefan Grasse, Stephan Wittmann (Geschäftsführer)
Prof.-Mederer-Straße 4, 92348 Berg, Deutschland
E-Mail: datenschutz@kyth.systems

Diese Datenschutzerklärung gilt für die Marketing-Website kyth.systems. Für unsere Produkte gelten eigene Erklärungen: für KYTH.Karl unter karl.kyth.systems/privacy, für KYTH.Kartuu unter Datenschutzerklärung von KYTH.Kartuu. KYTH. Pi-Tool läuft ausschließlich lokal auf Ihrem Gerät. Wir verarbeiten dabei keine Daten. Für KYTH.Kolli gilt die Datenschutzerklärung von KYTH.Kolli. Für KYTH.Klara folgt die Erklärung mit dem Start.

2. Überblick der Verarbeitungen

Diese Website ist eine reine Unternehmensdarstellung. Personenbezogene Daten werden nur in folgenden Fällen verarbeitet:

  • Server-Logs beim Aufruf der Website (technisch erforderlich).
  • Newsletter-Anmeldung (E-Mail-Adresse) im Double-Opt-In-Verfahren, wenn Sie sich über unser Anmeldeformular (im Seitenfuß oder auf der Karl-Produktseite) eintragen oder sich bis zum 4. Oktober 2026 auf die Kolli-Warteliste eingetragen haben.
  • E-Mail-Kontakt, wenn Sie uns über die genannten Adressen schreiben.
  • Telefonkontakt, wenn Sie uns unter einer der im Impressum genannten Nummern anrufen.
  • Terminbuchung für die gemeinsame Einrichtung von KYTH.Karl, wenn Sie über den Knopf auf der Karl-Produktseite die Buchungsseite von Google Kalender öffnen und dort einen Termin buchen (Abschnitt 8).
  • Direktansprache von Unternehmen per E-Mail (Name des Ladens oder der Firma, Website, Land, Gutscheinprodukte, öffentliche Kontaktadresse), wenn wir Shopify-Händlern in den USA oder im Vereinigten Königreich KYTH.Kartuu vorstellen (Abschnitt 8).
  • Meta-Pixel (Nutzungsdaten, Cookie-Kennung), nur wenn Sie im Einwilligungs-Banner zustimmen (Abschnitt 9).
  • Google Analytics und Google Ads (Nutzungsdaten, Cookie-Kennungen), nur wenn Sie im Einwilligungs-Banner zustimmen (Abschnitt 10).

Ohne Ihre Einwilligung setzen wir keinen externen Web-Analyse-Dienst, keine Tracking-Cookies, kein Werbenetzwerk und kein Pixel ein. Erst wenn Sie im Banner zustimmen, lädt der Meta-Pixel (Abschnitt 9) und das Google-Tag für Google Analytics und Google Ads (Abschnitt 10). Seitenaufrufe zählen wir unabhängig davon ohne Cookies und ohne personenbezogene Daten in dem Cloudflare Worker, der diese Website ausliefert (Abschnitt 5). Schriftarten werden ausschließlich self-hosted ausgeliefert (kein Google Fonts).

3. Cookies und lokaler Speicher

Beim ersten Besuch fragt ein Banner, ob Sie dem Meta-Pixel sowie Google Analytics und Google Ads zustimmen. Ohne Zustimmung setzt diese Website keine Cookies und lädt kein Tracking.

Ihre Entscheidung speichern wir im LocalStorage Ihres Browsers unter dem Schlüssel kyth-consent-marketing-v2 (Wert „granted“ oder „denied“), damit der Banner nicht bei jedem Aufruf erscheint. Wir stützen das auf § 25 Abs. 2 Nr. 2 TDDDG, weil es unbedingt erforderlich ist, um Ihre Wahl zu beachten. Erst wenn Sie zustimmen, setzen der Meta-Pixel und das Google-Tag Cookies und lesen Informationen aus Ihrem Endgerät aus; Rechtsgrundlage dafür ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Abschnitt 9 und 10). Die Einwilligung gilt für beide Dienste gemeinsam (Kategorie „Marketing“ im Banner). Ihre Wahl ändern Sie jederzeit über „Datenschutz-Einstellungen“ im Seitenfuß.

Schließen Sie den Banner mit dem X, ohne zu wählen, merken wir uns das nur für diesen Besuch im SessionStorage Ihres Browsers (Schlüssel kyth-consent-marketing-v2-zu, Wert „1“). Das ist keine Einwilligung: Weder der Meta-Pixel noch das Google-Tag lädt, und beim nächsten Besuch fragt der Banner wieder. Rechtsgrundlage ist ebenfalls § 25 Abs. 2 Nr. 2 TDDDG.

4. Server-Logs (Hosting bei Cloudflare)

Beim Aufruf der Website werden technische Daten verarbeitet, die Ihr Browser automatisch übermittelt:

  • IP-Adresse
  • Datum und Uhrzeit der Anfrage
  • Aufgerufene URL
  • Browser-Typ, -Version und Betriebssystem
  • Referrer (sofern Ihr Browser ihn überträgt)

Diese Daten sind technisch zwingend erforderlich, um die Website auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb). Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

5. Reichweitenmessung (cookiefrei, ohne Personenbezug)

Wir zählen Seitenaufrufe ohne Cookies und ohne personenbezogene Daten, direkt in dem Cloudflare Worker, der diese Website ausliefert (Cloudflare Workers Analytics Engine). Dafür wird kein Skript in Ihrem Browser geladen und kein externer Analyse-Dienst eingebunden; Cloudflare Web Analytics setzen wir nicht ein. Google Analytics lädt nur mit Ihrer Einwilligung (Abschnitt 10) und hat mit dieser Zählung nichts zu tun.

Je Seitenaufruf werden gespeichert: der Pfad der aufgerufenen Seite (ohne Query-Parameter), die Sprache (Deutsch oder Englisch), die Herkunfts-Domain (nur der Hostname aus dem Referrer, sofern Ihr Browser ihn überträgt, keine vollständige URL; Aufrufe innerhalb von kyth.systems werden nicht als Herkunft gespeichert) sowie der Zeitpunkt.

Nicht gespeichert werden: IP-Adresse, User-Agent, Cookies, Geräte- oder Browser-Merkmale (kein Fingerprinting), Standort oder Land. Es gibt keine Kennung, die mehrere Aufrufe derselben Person zusammenführt. Wir können weder Besucher wiedererkennen noch Sitzungen oder Nutzerprofile bilden.

Auftragsverarbeiter ist die Cloudflare, Inc. (Vertragsgrundlage siehe Abschnitt 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin zu verstehen, welche Seiten gelesen werden. Weil dabei nicht auf Informationen in Ihrem Endgerät zugegriffen wird, ist keine Einwilligung nach § 25 TDDDG erforderlich. Laut Cloudflare-Dokumentation werden Daten in Workers Analytics Engine drei Monate gespeichert.

6. Self-hosted Schriftarten

Diese Website verwendet ausschließlich lokal gehostete Schriftarten (Bricolage Grotesque, Plus Jakarta Sans, IBM Plex Mono). Es werden keine Verbindungen zu externen Schriftarten-Servern (z. B. Google Fonts, Adobe Fonts) hergestellt.

7. Newsletter-Anmeldung (Karl) und Kolli-Warteliste

Über unser Newsletter-Formular, im Seitenfuß unserer Seiten sowie prominent auf der Karl-Produktseite (/karl/ und /en/karl/), können Sie sich mit Ihrer E-Mail-Adresse eintragen, um Produkt-Updates und Mitteilungen zur Verfügbarkeit unserer Produkte zu erhalten. Wir verarbeiten Ihre Adresse im Double-Opt-In-Verfahren: Nach dem Absenden erhalten Sie eine Bestätigungs-E-Mail; erst nach Klick auf den darin enthaltenen Link werden Sie in den Verteiler aufgenommen.

Auf der Kolli-Produktseite (/kolli/ und /en/kolli/) konnten Sie sich bis zum 4. Oktober 2026 über dasselbe Formular und dasselbe Double-Opt-In-Verfahren auf die Warteliste für KYTH.Kolli eintragen; seit Kolli im Shopify App Store steht, wird das Formular dort nicht mehr angeboten. Die Warteliste wird getrennt vom Newsletter geführt: Wer sich eingetragen hat, erhält außer der Bestätigungs-E-Mail genau eine Mitteilung zum Start von Kolli im Shopify App Store und keinen Newsletter. Rechtsgrundlage, Widerruf, Speicherort und Löschfristen sind dieselben wie beim Newsletter.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 UWG. Die Angabe Ihrer E-Mail-Adresse ist freiwillig. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Abmelde-Link am Ende jeder E-Mail oder formlos per E-Mail an datenschutz@kyth.systems. Nach der Abmeldung wird Ihre Adresse umgehend und vollständig gelöscht.

Das Anmeldeformular übergibt Ihre E-Mail-Adresse direkt an unser eigenes Produkt-Backend (karl.kyth.systems, ebenfalls Verantwortlicher KYTH. Systems UG (haftungsbeschränkt)). Dort wird sie verschlüsselt gespeichert; die Server stehen in Deutschland (Hosting IONOS, Berlin). Der Versand der Bestätigungs- und Newsletter-Mails erfolgt über unseren Mail-Hoster INWX (Deutschland, siehe Abschnitt 11). Bestätigen Sie die Anmeldung nicht, wird Ihre Adresse spätestens nach 30 Tagen automatisch gelöscht.

8. E-Mail-, Telefon- und Terminkontakt

Wenn Sie uns über eine E-Mail-Adresse der Domain kyth.systems (z. B. hello@, datenschutz@) schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Durchführung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung allgemeiner Anfragen). Ihre Angaben werden nicht ohne Ihre Einwilligung an Dritte weitergegeben.

Unsere E-Mail-Postfächer der Domain kyth.systems (z. B. hello@, datenschutz@, warteliste@) werden bei unserem Mail-Hosting-Anbieter INWX (Berlin, Deutschland) als IMAP-Postfächer betrieben; die Mailserver stehen in Deutschland. Beim Empfang Ihrer E-Mail findet daher kein Transfer in ein Drittland statt. Wir empfehlen dennoch, sensible personenbezogene Daten (z. B. Gesundheitsdaten) nicht unverschlüsselt per E-Mail an uns zu übermitteln.

Wir speichern Ihre Korrespondenz, bis der Zweck der Anfrage entfällt. Spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen (handelsrechtlich i. d. R. 6 oder 10 Jahre, sofern einschlägig) wird sie gelöscht.

Wenn Sie eine der im Impressum genannten Telefonnummern anrufen (die Mobilnummern der beiden Geschäftsführer), verarbeiten wir Ihre Rufnummer, sofern sie übermittelt wird, und den Zeitpunkt des Anrufs. Was Sie uns im Gespräch mitteilen, notieren wir nur, soweit das zur Bearbeitung Ihrer Anfrage nötig ist. Die Rechtsgrundlagen sind dieselben wie beim E-Mail-Kontakt. Auch diese Angaben geben wir nicht ohne Ihre Einwilligung an Dritte weiter.

Terminbuchung und Videogespräch über Google (freiwillig). Auf dieser Website bieten wir an, KYTH.Karl in einem Videogespräch von 30 Minuten gemeinsam einzurichten. Der Knopf öffnet eine Buchungsseite von Google Kalender in einem neuen Tab. Unsere Website lädt dafür nichts von Google und überträgt keine Daten an Google. Auf der Buchungsseite wählt die buchende Person einen Termin und gibt Vorname, Nachname, E-Mail-Adresse und Shop-Domain an, auf Wunsch auch die genutzten Versanddienste. Google trägt den Termin in unseren Kalender ein und schickt die Bestätigung an die buchende Person und an uns. Das Gespräch läuft als Videokonferenz über Google Meet. Google verarbeitet dabei Bild, Ton und Verbindungsdaten der Teilnehmer. Wir zeichnen das Gespräch nicht auf und lassen es nicht mitschreiben. Wir nutzen die Angaben, um den Termin vorzubereiten und durchzuführen.

Wir nutzen dafür ein kostenloses Google-Konto. Einen Vertrag zur Auftragsverarbeitung mit Google gibt es dafür nicht. Google verarbeitet die Angaben nach seinen eigenen Nutzungsbedingungen und seiner eigenen Datenschutzerklärung, in eigener Verantwortung und auch zu den dort genannten eigenen Zwecken. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Verarbeitung in den USA durch die Google LLC ist möglich. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, dafür besteht ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (policies.google.com/privacy/frameworks).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor einem Vertrag auf Anfrage), soweit die buchende Person selbst unser künftiger Vertragspartner ist, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse und das ihres Unternehmens an der gemeinsamen Einrichtung). Die Buchung ist freiwillig. Wer Google dafür nicht nutzen möchte, schreibt uns an support@kyth.systems. Termin und Bestätigungsmail löschen wir aus unserem Kalender und Postfach, sobald wir sie für das Gespräch und für Rückfragen dazu nicht mehr brauchen, auf Wunsch früher. Wie lange Google die Angaben darüber hinaus speichert, richtet sich nach Googles Datenschutzerklärung (policies.google.com/privacy).

Direktansprache von Unternehmen per E-Mail. Wir stellen Shopify-Händlern in den USA und im Vereinigten Königreich unsere App KYTH.Kartuu einmalig in einer persönlichen E-Mail vor. Die Angaben dafür suchen wir von Hand auf den öffentlichen Websites der Läden (Startseite, Kontaktseite, öffentliche Produktliste). Im Vereinigten Königreich prüfen wir im öffentlichen Register von Companies House die Rechtsform und schreiben nur Gesellschaften in der Form Ltd, PLC oder LLP an. Wir verarbeiten dafür: Name des Ladens oder der Firma, Website, Land, die öffentlich angebotenen Gutscheinprodukte, die öffentliche Kontaktadresse und im Vereinigten Königreich die Rechtsform. Die Kontaktadresse ist meist eine allgemeine Adresse wie info@, manchmal eine Adresse mit dem Namen einer Person. Personenbezogen sind vor allem solche Adressen mit Namen.

Jede Mail schreibt und sendet Stefan Grasse einzeln aus dem Postfach stefan@kyth.systems, ohne einen Dienst für Massenversand. Das Postfach liegt bei INWX (siehe oben in diesem Abschnitt). Die Liste der angeschriebenen Läden führen wir lokal auf einem Rechner von KYTH und geben sie nicht weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Unternehmen, zu deren Laden Kartuu passt, unser Angebot vorzustellen (Direktwerbung, Erwägungsgrund 47 DSGVO). Die Angaben stammen aus öffentlich zugänglichen Quellen.

Widerspruch. Sie können der Verarbeitung Ihrer Daten für diese Werbung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO): mit einer Antwort auf unsere Mail oder an datenschutz@kyth.systems. Danach schreiben wir Sie nicht mehr an und löschen Ihre Angaben aus der Liste. Nur die E-Mail-Adresse und das Datum des Widerspruchs bewahren wir auf einer Sperrliste auf, damit wir Sie nicht erneut anschreiben.

Speicherdauer. Antworten Sie nicht, löschen wir den Eintrag drei Monate nach unserer Mail. Antworten Sie, gilt für den Schriftwechsel, was oben zum E-Mail-Kontakt steht.

9. Meta-Pixel (nur mit Einwilligung)

Wenn Sie im Banner zustimmen, laden wir den Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Er misst, welche Anzeigen auf Facebook und Instagram zu Besuchen dieser Website und zu Klicks auf unsere Einträge im Shopify App Store führen, und ermöglicht es, Anzeigen an Personen auszuspielen, die sich unsere Produkte angesehen haben.

Verarbeitet werden dabei: aufgerufene Seiten und Zeitpunkt, IP-Adresse, Browser- und Geräteangaben, die Kennung des Cookies _fbp, nach einem Anzeigenklick die Kennung _fbc, sowie diese Ereignisse: PageView (Seitenaufruf), ViewContent auf den Seiten von KYTH.Karl und KYTH.Kartuu, AppStoreClick beim Klick auf einen Link in den Shopify App Store und AppLinkMail beim Klick auf „Link an mich schicken“ (gezählt wird nur der Klick; die E-Mail schreibt und versendet Ihr eigenes Mailprogramm, sie selbst erreicht weder uns noch Meta). Sind Sie bei Facebook oder Instagram angemeldet, kann Meta diese Daten Ihrem Konto zuordnen.

Zuordnung von App-Installationen (nur KYTH.Kartuu): Auf den Seiten von KYTH.Kartuu setzen wir mit derselben Einwilligung zusätzlich das Cookie kyth_klick für kyth.systems und seine Subdomains. Es enthält eine zufällige Kennung, die Kennungen _fbc und _fbp, die Kampagnen-Parameter der Anzeige (utm), die aufgerufene Seite und die Zeitpunkte von Klick und Einwilligung. Bei „Link an mich schicken“ stehen diese Angaben im Link der E-Mail; öffnen Sie ihn, setzen wir das Cookie auch auf diesem Gerät und leiten in den Shopify App Store weiter. Installieren Sie danach KYTH.Kartuu, liest die App (kartuu.kyth.systems) das Cookie und meldet die Installation mit diesen Kennungen über die Conversions API an Meta. So sehen wir, welche Anzeige zu einer Installation geführt hat. Mit dem Widerruf löschen wir das Cookie.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Für die Erhebung auf dieser Website und die Übermittlung an Meta sind wir und Meta nach dem Urteil des EuGH vom 29. Juli 2019 (C-40/17, Fashion ID) gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu ist der Controller Addendum in Metas Nutzungsbedingungen für Business-Tools. Für die weitere Verarbeitung ist Meta allein verantwortlich, Einzelheiten stehen in der Datenschutzrichtlinie von Meta.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über „Datenschutz-Einstellungen“ im Seitenfuß. Danach lädt der Pixel nicht mehr. Meta übermittelt Daten auch an die Meta Platforms, Inc. in den USA (Abschnitt 12).

Auf unseren Seiten im Shopify App Store (nur KYTH.Karl und KYTH.Kartuu): Für diese beiden Angebotsseiten unter apps.shopify.com haben wir im Partner-Dashboard von Shopify je eine Pixel-Kennung von Meta eingetragen. Shopify lädt den Pixel dort nur, wenn Sie in der Einwilligungsabfrage von Shopify der Analyse zugestimmt und dem Verkauf oder der Weitergabe Ihrer Daten nicht widersprochen haben. Übermittelt werden dann an Meta die Ereignisse PageView (Seitenaufruf) und ViewContent mit Name, Kennung und Preis der App. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta diese Daten Ihrem Konto zuordnen. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Widerrufen können Sie sie über „Deine Datenschutz-Optionen“ im Seitenfuß des Shopify App Store.

10. Google Analytics und Google Ads (nur mit Einwilligung)

Wenn Sie im Banner zustimmen, laden wir das Google-Tag für Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Es misst, wie diese Website genutzt wird und welche Anzeigen bei Google zu Besuchen und zu Klicks auf unsere Einträge im Shopify App Store führen. Unsere Google-Analytics-Property ist mit unserem Google-Ads-Konto verknüpft. Dadurch können wir den Erfolg unserer Google-Anzeigen messen und Besuchern dieser Website Anzeigen zeigen (Remarketing).

Verarbeitet werden dabei: aufgerufene Seiten, Seitentitel und Zeitpunkt, die Herkunft des Besuchs (Referrer, nach einem Anzeigenklick die Klick-Kennung gclid), IP-Adresse, Browser-, Geräte- und ungefähre Standortangaben, die Kennungen der Cookies _ga und _ga_RFXXMQVV5N, nach einem Anzeigenklick _gcl_au, sowie diese Ereignisse: page_view (Seitenaufruf), app_store_click beim Klick auf einen Link in den Shopify App Store und app_link_mail beim Klick auf „Link an mich schicken“ (gezählt wird nur der Klick). Das Google-Tag läuft im Einwilligungsmodus (Consent Mode): Vor Ihrer Zustimmung lädt es nicht, nach einem Widerruf meldet es die Ablehnung an Google. Sind Sie bei Google angemeldet, kann Google diese Daten Ihrem Google-Konto zuordnen.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Für die Messung in Google Analytics verarbeitet Google die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO, Datenverarbeitungsbedingungen für Google-Werbeprodukte). Für Anzeigenfunktionen wie Remarketing verarbeitet Google Daten auch in eigener Verantwortung; Einzelheiten stehen in der Datenschutzerklärung von Google und unter „Wie Google Daten von Websites verwendet“.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, über „Datenschutz-Einstellungen“ im Seitenfuß. Danach lädt das Google-Tag nicht mehr, und wir löschen die Cookies _ga, _ga_RFXXMQVV5N und _gcl_au. Google übermittelt Daten auch an die Google LLC in den USA (Abschnitt 12).

Auf unseren Seiten im Shopify App Store: Für unsere Angebotsseiten von KYTH.Karl, KYTH.Kartuu und KYTH.Kolli unter apps.shopify.com haben wir im Partner-Dashboard von Shopify dieselbe Google-Analytics-Property eingetragen (Mess-ID G-RFXXMQVV5N). Shopify bindet das Google-Tag dort ein und lädt es nur, wenn Sie in der Einwilligungsabfrage von Shopify der Analyse zugestimmt und dem Verkauf oder der Weitergabe Ihrer Daten nicht widersprochen haben. Wir messen damit, wie oft unsere Angebotsseiten aufgerufen werden und wie oft dort auf die Schaltfläche zum Installieren geklickt wird. Wo wir dort zusätzlich einen API-Schlüssel eingetragen haben (etwa bei KYTH.Kolli), meldet Shopify von seinen eigenen Servern aus auch, wenn die App installiert wird. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Empfänger, Übermittlung in die USA und Speicherdauer in unserer Property sind dieselben wie auf dieser Website (Abschnitte 12 und 13). Widerrufen können Sie die Einwilligung über „Deine Datenschutz-Optionen“ im Seitenfuß des Shopify App Store. Für die übrige Verarbeitung im Shopify App Store gilt die Datenschutzerklärung von Shopify.

11. Auftragsverarbeiter und Empfänger

Wir setzen die folgenden Dienstleister ein. Mit allen genannten Empfängern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; bei Anbietern mit Drittlandbezug zusätzlich EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

  • Cloudflare, Inc. (USA / EU-Edge): Hosting der Website, DNS und CDN.
  • IONOS SE (Deutschland): Hosting unseres Produkt-Backends karl.kyth.systems inklusive der verschlüsselten Newsletter-Abonnentenliste; die Server stehen in Berlin.
  • INWX (Berlin, Deutschland): Hosting unserer E-Mail-Postfächer der Domain kyth.systems sowie Versand der Newsletter- und Bestätigungs-Mails (SMTP); die Server stehen in Deutschland.
  • GitHub, Inc. (USA, Microsoft-Konzern): Quellcode-Verwaltung und Build-Pipeline (verarbeitet keine Endnutzerdaten dieser Website, ist aber Teil unserer Infrastruktur).

12. Drittlandtransfer

Datenübermittlungen in die USA erfolgen an Cloudflare (Website-Hosting) und GitHub (Infrastruktur). Wir stützen diese Transfers auf EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie ergänzende technische Schutzmaßnahmen der Anbieter (TLS-Transportverschlüsselung, Zugriffskontrollen, EU-Region wo möglich). Wo der jeweilige Anbieter unter dem EU-U.S. Data Privacy Framework zertifiziert ist, stützen wir den Transfer alternativ auf den entsprechenden Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Die Verarbeitung Ihrer Newsletter-Daten (Speicherung und Mailversand) findet ausschließlich in Deutschland statt.

Mit Ihrer Einwilligung in den Meta-Pixel (Abschnitt 9) übermittelt Meta Daten auch an die Meta Platforms, Inc. in den USA. Meta Platforms, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO).

Mit Ihrer Einwilligung in Google Analytics und Google Ads (Abschnitt 10) übermittelt Google Daten auch an die Google LLC in den USA. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO).

13. Speicherdauer

  • Server-Logs (Cloudflare): nach Cloudflares Standardrichtlinien, in der Regel maximal 30 Tage.
  • Reichweitendaten ohne Personenbezug (Cloudflare Workers Analytics Engine, Abschnitt 5): laut Cloudflare drei Monate.
  • Ihre Entscheidung im Einwilligungs-Banner (LocalStorage, Abschnitt 3): bis Sie sie ändern oder den Speicher Ihres Browsers löschen.
  • Schließen des Banners mit dem X (SessionStorage, Abschnitt 3): bis Sie den Tab oder Browser schließen.
  • Meta-Pixel (Abschnitt 9): das Cookie kyth_klick 90 Tage, das Cookie _fbp laut Meta 90 Tage; wie lange Meta die übermittelten Daten speichert, regelt die Datenschutzrichtlinie von Meta.
  • Google Analytics und Google Ads (Abschnitt 10): die Cookies _ga und _ga_RFXXMQVV5N laut Google zwei Jahre, _gcl_au laut Google 90 Tage; in unserer Google-Analytics-Property Ereignisdaten zwei Monate und Nutzerdaten 14 Monate (Aufbewahrungseinstellungen der Property, Stand 5. Oktober 2026). Dieselben Fristen gelten für die Messung auf unseren Seiten im Shopify App Store.
  • Newsletter-E-Mail-Adresse: bis zu Ihrer Abmeldung, danach umgehende Löschung. Nicht bestätigte Anmeldungen werden spätestens nach 30 Tagen automatisch gelöscht.
  • E-Mail-Korrespondenz: für die Dauer der Bearbeitung zzgl. gesetzlicher Aufbewahrungsfristen.
  • Telefonate: Notizen zum Gespräch für die Dauer der Bearbeitung zzgl. gesetzlicher Aufbewahrungsfristen. Rufnummer und Zeitpunkt des Anrufs stehen in der Anrufliste des Telefons, bis sie dort gelöscht oder überschrieben werden.
  • Terminbuchung (Abschnitt 8): Termin und Bestätigungsmail, bis wir sie für das Gespräch und Rückfragen dazu nicht mehr brauchen, auf Wunsch früher; die Speicherung bei Google richtet sich nach Googles Datenschutzerklärung.
  • Direktansprache per E-Mail (Abschnitt 8): ohne Antwort drei Monate nach unserer Mail; nach einem Widerspruch nur E-Mail-Adresse und Datum auf einer Sperrliste.

14. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

  • Recht auf Auskunft (Art. 15 DSGVO)
  • Recht auf Berichtigung (Art. 16 DSGVO)
  • Recht auf Löschung (Art. 17 DSGVO)
  • Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruchsrecht gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Wahrnehmung Ihrer Rechte genügt eine formlose E-Mail an datenschutz@kyth.systems.

15. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Für uns örtlich zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die Verarbeitungstätigkeiten ändern oder neue rechtliche Anforderungen dies erfordern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar; das Datum der letzten Überarbeitung steht oben.