Datenschutzerklärung

Stand: 13.10.2026

Datenschutz auf einen Blick

Hier finden Sie die wichtigsten Informationen zur Datenverarbeitung bei Create Lab kurz zusammengefasst. Die Details stehen weiter unten.

• Wer ist verantwortlich? Create Lab – Sandro Voigt, Albert-Einstein-Straße 10, 23617 Stockelsdorf, E-Mail: datenschutz@create-lab.de.

• Welche Daten verarbeiten wir? Technische Daten beim Besuch der Website (z. B. IP-Adresse), Angaben aus Kontaktformularen, Terminbuchungen und der Newsletter-Anmeldung sowie Projektdaten im Rahmen unserer Dienstleistungen und in unserem Kundenportal.

• Wofür? Zur Bereitstellung der Website, zur Kommunikation mit Ihnen, zur Abwicklung von Kundenprojekten, für die Ansprache von Unternehmen (B2B) und für gesetzliche Pflichten (z. B. Buchhaltung).

• Nutzen wir KI? Ja. Für kreative und technische Arbeit setzen wir KI-Werkzeuge ohne personenbezogene Kundendaten ein. Zusätzlich lassen wir E-Mail-Verläufe zu laufenden Projekten durch ein KI-Modell von Anthropic zusammenfassen, damit nichts liegen bleibt (siehe Ziffer 13.4). Dem können Sie jederzeit widersprechen.

• Wie lange speichern wir? Projektdaten in der Regel bis 6 Monate nach Projektabschluss. Geschäftsbriefe und Rechnungen bewahren wir nach den gesetzlichen Fristen 6 bis 10 Jahre auf.

• Welche Rechte haben Sie? Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf von Einwilligungen und Beschwerde bei der Aufsichtsbehörde.

1. Verantwortlicher

Create Lab – Sandro Voigt
Albert-Einstein-Straße 10, 23617 Stockelsdorf
E-Mail: datenschutz@create-lab.de
Telefon: 0173 / 54 17 827

2. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO)

• Berichtigung (Art. 16 DSGVO)

• Löschung (Art. 17 DSGVO)

• Einschränkung der Verarbeitung (Art. 18 DSGVO)

• Datenübertragbarkeit (Art. 20 DSGVO)

• Widerspruch gegen Verarbeitungen aus berechtigtem Interesse (Art. 21 DSGVO)

• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Für uns zuständig ist: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel, E-Mail: mail@datenschutzzentrum.de.

Eine formlose Nachricht an datenschutz@create-lab.de genügt.

3. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies erforderlich ist für den Betrieb dieser Website und unseres Kundenportals, die Erbringung unserer Dienstleistungen, die Kommunikation mit Kundinnen, Kunden und Interessenten, die Ansprache von Unternehmen (B2B) sowie gesetzliche Pflichten.

Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Werden Daten in Länder außerhalb der EU übermittelt (insbesondere in die USA), geschieht das nur auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von EU-Standardvertragsklauseln.

4. Hosting der Website

Unsere Website wird von der Hostinger International Ltd. bereitgestellt. Beim Aufruf verarbeitet Hostinger automatisch technische Daten, z. B. IP-Adresse, Browsertyp und -version, Betriebssystem, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten und Referrer-URL.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und stabilen Bereitstellung der Website). Server-Logfiles werden nach wenigen Tagen gelöscht. Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung.

5. Cookies und Einwilligungsbanner (Website)

Auf der Website nutzen wir das Cookie-Banner von Hostinger.

• Notwendige Cookies setzen wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

• Analyse- und Marketing-Cookies setzen wir nur nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

Sie können Ihre Einwilligung jederzeit über das Cookie-Banner widerrufen oder ändern.

Für das Kundenportal gilt ein eigenes Banner, siehe Ziffer 12.

6. Analyse und Tracking (Website)

6.1 Google Tag Manager

Der Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) verwaltet Skripte auf unserer Website. Er wird nur geladen, um die von Ihnen erlaubten Dienste auszuspielen. Dabei kann Google technische Daten wie Ihre IP-Adresse verarbeiten.

6.2 Google Analytics 4

Mit Ihrer Einwilligung nutzen wir Google Analytics 4 der Google Ireland Limited. Verarbeitet werden u. a. Nutzungsverhalten, Geräte- und Browserdaten sowie ungefähre Standortdaten. Google Analytics 4 speichert keine vollständigen IP-Adressen. Eine Übermittlung in die USA ist möglich. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

6.3 Hostinger Web-Analytics

Hostinger Web-Analytics wertet die Nutzung unserer Website in zusammengefasster Form aus und setzt keine Cookies.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

7. Google Ads und Conversion-Tracking

Mit Ihrer Einwilligung nutzen wir Google Ads der Google Ireland Limited für Conversion-Tracking (Erfolgsmessung unserer Anzeigen) und Remarketing (Anzeigen für Besucherinnen und Besucher unserer Website). Dabei können Cookies gesetzt und Daten in die USA übermittelt werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG).

8. Kontaktaufnahme

8.1 Kontakt- und Anfrageformulare

Wir verarbeiten die Angaben, die Sie in ein Formular eintragen, z. B. Name, E-Mail-Adresse, Telefonnummer, Nachricht und gegebenenfalls hochgeladene Dateien. Je nach Formular werden die Angaben zusätzlich in Google Sheets gespeichert oder über unser eigenes Formular-System unter formulare.create-lab.de auf unserem Server in Deutschland verarbeitet (siehe Ziffer 12).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) und Art. 6 Abs. 1 lit. f DSGVO (Beantwortung allgemeiner Anfragen).

8.2 E-Mail und Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, speichern wir Ihre Angaben, um Ihre Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b oder lit. f DSGVO).

8.3 WhatsApp Business

Die Kommunikation über WhatsApp Business erfolgt über die WhatsApp Ireland Limited. Verarbeitet werden z. B. Telefonnummer, Profilbild und Nachrichteninhalte. Eine Übermittlung in die USA kann nicht ausgeschlossen werden. Meta Platforms, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung eines Vertrags).

9. Terminbuchung

Terminvereinbarungen über unsere Website laufen über ein Werkzeug von Hostinger. Die Angaben verarbeiten wir zur Planung und Durchführung des Termins und tragen den Termin in Google Kalender ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags), im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

10. Newsletter (MailerLite)

Für unseren Newsletter nutzen wir MailerLite (MailerLite Limited, Ground Floor, 71 Lower Baggot Street, Dublin 2, Irland).

• Verarbeitete Daten: E-Mail-Adresse, optional Ihr Name, sowie Zeitpunkt der Anmeldung und IP-Adresse für das Double-Opt-In-Verfahren.

• Auswertung: Unsere Newsletter enthalten ein kleines Zählpixel. Damit erfahren wir, ob und wann ein Newsletter geöffnet und welche Links angeklickt wurden. Das dient der statistischen Auswertung.

• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Protokollierung der Anmeldung beruht auf unserem berechtigten Interesse am Nachweis der Einwilligung (Art. 6 Abs. 1 lit. f DSGVO).

• Widerruf: jederzeit über den Abmeldelink in jedem Newsletter oder per E-Mail an uns.

• Ort der Verarbeitung: MailerLite sitzt in der EU und speichert die Daten vorrangig auf Servern in der EU. Mit MailerLite besteht ein Vertrag zur Auftragsverarbeitung. Mehr dazu: https://www.mailerlite.com/legal/privacy-policy

11. Kundenverwaltung und Cloud-Speicherung (Google Workspace)

Für E-Mail, Kalender, Aufgaben, Dateiablage und Archivierung nutzen wir Google Workspace der Google Ireland Limited (Gmail, Google Drive, Google Kalender, Google Docs und Sheets, Google Vault). Google Vault dient der revisionssicheren Archivierung, um gesetzliche Aufbewahrungspflichten zu erfüllen.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Kunden- und Projektabwicklung)

• Art. 6 Abs. 1 lit. f DSGVO (Verwaltung von Interessenten, IT-Sicherheit)

• Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten)

Eine Verarbeitung in den USA ist möglich. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Mit Google besteht ein Vertrag zur Auftragsverarbeitung.

12. Kundenportal

Für die Zusammenarbeit mit Kundinnen und Kunden betreiben wir ein eigenes Kundenportal unter kundenportal.create-lab.de, konzepte.create-lab.de und formulare.create-lab.de. Dort stellen wir Konzepte und Angebote bereit, nehmen Aufträge entgegen, tauschen Dateien aus und zeigen den Projektfortschritt.

12.1 Welche Daten wir verarbeiten

• Zugangsdaten: Benutzername, Name, E-Mail-Adresse und Passwort. Das Passwort speichern wir ausschließlich verschlüsselt (als Hash), wir können es nicht einsehen.

• Projektdaten: Konzepte, Angebote, Freigaben, Nachrichten, Anliegen, Kommentare, Terminwünsche und Terminvorschläge sowie Dateien, die Sie oder wir im Portal hochladen.

• Auftragserteilung: Wenn Sie ein Angebot im Portal annehmen, speichern wir Ihren Namen, gegebenenfalls Ihre Funktion, Ihre E-Mail-Adresse, die gewählten Leistungen, den Zeitpunkt, Ihre IP-Adresse sowie die Fassung der AGB, die Sie bestätigt haben. Das dient als Nachweis des Vertragsschlusses.

• Anfrageformulare: Angaben und Dateien, die Sie über ein Formular unter formulare.create-lab.de senden.

12.2 Zweck und Rechtsgrundlage

Wir verarbeiten diese Daten, um Angebote vorzubereiten und Aufträge durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Den Nachweis der Auftragserteilung speichern wir, um gesetzliche Pflichten zu erfüllen und Ansprüche belegen zu können (Art. 6 Abs. 1 lit. c und lit. f DSGVO).

12.3 Sicherheit

Hochgeladene Dateien prüfen wir auf unserem eigenen Server mit einem Virenscanner, sie werden dafür nicht an Dritte gegeben. Zum Schutz vor Missbrauch speichern wir bei fehlgeschlagenen Anmeldungen kurzzeitig die IP-Adresse, um wiederholte Versuche zu bremsen (Art. 6 Abs. 1 lit. f DSGVO).

12.4 Cookies und Speicher im Browser

Für die Anmeldung setzt das Portal ein Sitzungscookie. Es ist technisch notwendig, damit Sie angemeldet bleiben, und wird beim Abmelden gelöscht (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO). Ihre Auswahl im Cookie-Banner des Portals speichern wir im Speicher Ihres Browsers, damit wir Sie nicht bei jedem Besuch erneut fragen (§ 25 Abs. 2 Nr. 2 TDDDG).

Auf diesem Gerät merken (nur mit Ihrer Einwilligung): Wenn Sie zustimmen, merkt sich Ihr Browser Ihren Namen für das Kommentarfeld. Der Name bleibt nur in Ihrem Browser und wird gelöscht, sobald Sie die Einwilligung über „Cookie-Einstellungen“ im Seitenfuß des Portals widerrufen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

12.5 Nutzungsanalyse im Portal (nur mit Ihrer Einwilligung)

Wenn Sie zustimmen, messen wir im Portal Besuche, die aktive Verweildauer, angesehene Abschnitte und Klicks. So sehen wir, welche Teile eines Konzepts gelesen werden, und können Konzepte verständlicher gestalten. Dafür speichert Ihr Browser eine zufällige Geräte-Kennung, ohne Einwilligung nicht. Die Daten liegen ausschließlich auf unserem eigenen Server, es sind keine Analyse-Drittanbieter beteiligt.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß des Portals widerrufen.

12.6 Hosting des Portals

Das Portal läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Nürnberg. Tägliche Sicherungen liegen zusätzlich auf einem Speicher von Hetzner in Deutschland, übertragen über eine verschlüsselte Verbindung, und werden nach spätestens vier Wochen überschrieben. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

12.7 Angebote und Rechnungen (sevDesk)

Angebote und Rechnungen erstellen wir mit sevDesk der sevDesk GmbH, Hauptstraße 115, 77652 Offenburg, Deutschland. Das Portal gleicht Angebots- und Rechnungsdaten mit sevDesk ab, damit Sie Ihre Dokumente im Portal sehen. Mit sevDesk besteht ein Vertrag zur Auftragsverarbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

12.8 Speicherdauer im Portal

Portaldaten speichern wir für die Dauer der Zusammenarbeit. Wird ein Zugang sechs Monate nicht genutzt oder endet die Zusammenarbeit, prüfen wir die Löschung und löschen die personenbezogenen Portaldaten (Zugänge, Namen und E-Mail-Adressen, Messdaten, Kommentare, Anliegen, hochgeladene Antworten und Dateien, Kontaktdaten aus Terminwünschen), soweit wir sie nicht für ein laufendes Projekt brauchen. Den Nachweis der Auftragserteilung sowie Angebote und Rechnungen bewahren wir nach den handels- und steuerrechtlichen Fristen auf.

13. Dienstleistungen und projektbezogene Datenverarbeitung

13.1 Webdesign

Wir verarbeiten Zugänge zu Websites und Hosting, Inhalte, Texte und Bilder sowie technische Daten, um Websites zu erstellen und zu pflegen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

13.2 Social Media Management

Wir verarbeiten Profilinformationen, Bilder, Videos und Grafiken, Content-Planung und Statistiken, Daten aus dem Community-Management sowie bereitgestellte Zugangsdaten. Gespeichert wird lokal, in Google Drive und in den Werkzeugen der jeweiligen Plattformen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. a DSGVO (Einwilligung für Bildmaterial).

13.3 Content- und Podcast-Produktion

Bei Video, Foto, Grafik, Imagefilm, Werbevideo und Podcast verarbeiten wir Video-, Audio- und Fotoaufnahmen (einschließlich Stimmen), Skripte und Projektunterlagen sowie Namen und Rollen von Projektbeteiligten und Interviewpartnern. Gespeichert wird lokal und in Google Drive.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. a DSGVO für Bild- und Tonaufnahmen.

Speicherdauer:

• Content- und Audio-Podcast-Produktion: bis 6 Monate nach Projektabschluss, auf Wunsch länger.

• Video-Podcast-Produktion: Löschung sofort nach Übergabe an den Kunden, falls vereinbart nach höchstens 6 Monaten.

13.4 Einsatz von Künstlicher Intelligenz (KI)

Kreative und technische Arbeit: Zur Ideenfindung, Texterstellung, Bildbearbeitung und Programmierung setzen wir KI-Werkzeuge ein. Dabei geben wir keine personenbezogenen Daten unserer Kundinnen und Kunden oder deren Endnutzer ein, sondern nur allgemeine oder sachbezogene Projektinhalte.

Zusammenfassung von Projekt-E-Mails (Anthropic): Damit bei laufenden Projekten nichts übersehen wird, lassen wir den Inhalt von E-Mail-Verläufen mit Kundinnen und Kunden durch ein KI-Modell zusammenfassen (aktueller Stand, nächster Schritt). Dafür übermitteln wir den Text der jeweiligen E-Mails an die Schnittstelle von Anthropic (Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA). Wir speichern nur die kurze Zusammenfassung, nicht den übermittelten Text. Nach Angaben von Anthropic werden über die Schnittstelle übermittelte Daten nicht zum Training von KI-Modellen verwendet und nach kurzer Zeit automatisch gelöscht. Die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln im Vertrag zur Auftragsverarbeitung mit Anthropic.

Rechtsgrundlage: unser berechtigtes Interesse an einer zuverlässigen Projektbetreuung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), eine kurze Nachricht an uns genügt.

13.5 Google-Ads-Kampagnen für Kunden

Wir verarbeiten Zielgruppeninformationen, Budget- und Trackingdaten, Projektdaten und gegebenenfalls personenbezogene Daten von Kundenkontakten. Hierbei handeln wir als Auftragsverarbeiter unserer Kundinnen und Kunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

13.6 Website-Betreuung und Formulare im Auftrag

Für einige Kundinnen und Kunden betreiben und betreuen wir Websites, Anfrageformulare sowie Analyse- und Einwilligungswerkzeuge. Dabei verarbeiten wir personenbezogene Daten der Besucherinnen und Besucher dieser Websites ausschließlich im Auftrag und nach Weisung unserer Kunden auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Verantwortlich ist in diesen Fällen der jeweilige Websitebetreiber. Informationen dazu finden Sie in dessen Datenschutzerklärung.

14. Ansprache von Unternehmen (B2B)

Wir sprechen Unternehmen und Organisationen gezielt an, für die unsere Leistungen passen könnten, telefonisch oder per E-Mail. Dafür verarbeiten wir öffentlich zugängliche geschäftliche Kontaktdaten: Name, Firma, Funktion, geschäftliche E-Mail-Adresse und Telefonnummer sowie den Verlauf der Kontaktaufnahme.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewinnung von Geschäftskunden). Sie können der Verwendung Ihrer Daten jederzeit widersprechen, eine kurze Nachricht genügt. Danach sprechen wir Sie nicht mehr an und vermerken nur noch, dass Sie nicht kontaktiert werden möchten.

15. Speicherdauer (Übersicht)

• Projekt- und Kundendaten: bis 6 Monate nach Projektabschluss

• Kundenportal: siehe Ziffer 12.8

• Video-Podcasts: Löschung nach Übergabe oder, falls vereinbart, nach höchstens 6 Monaten

• Rechnungen und Buchungsbelege: 10 Jahre (§ 147 AO, § 257 HGB)

• Geschäftsbriefe und E-Mails (Google Vault): 6 Jahre, steuerrelevante Unterlagen 10 Jahre, sonst bis der Zweck entfällt

• Newsletter: bis zum Widerruf

• Kontaktanfragen: bis die Anfrage abgeschlossen ist

• B2B-Ansprache: bis zum Widerspruch oder wenn kein Interesse mehr zu erwarten ist

16. Auftragsverarbeiter

Wir arbeiten insbesondere mit folgenden Dienstleistern zusammen, mit denen jeweils ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO besteht:

• Hostinger (Website-Hosting, Cookie-Banner, Termin-Werkzeug, Web-Analytics)

• Hetzner Online GmbH (Hosting des Kundenportals, Sicherungen)

• Google Ireland Limited (Workspace, Analytics, Tag Manager, Ads)

• sevDesk GmbH (Buchhaltung, Angebote, Rechnungen)

• MailerLite Limited (Newsletter)

• Tally BV (Formulare)

• Anthropic (Zusammenfassung von Projekt-E-Mails)

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert, z. B. bei neuen Werkzeugen. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.