Wer außer uns Ihre Daten berührt.

Für diese Website sind wir selbst verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO. Die folgenden vier Stellen verarbeiten dabei und in unseren Terminen Daten in unserem Auftrag. Was sie im Einzelnen verarbeiten und auf welcher Rechtsgrundlage, steht ausführlich in der Datenschutzerklärung.

Mehr sind es nicht. Es gibt keine Analyse-, Marketing- oder Social-Media-Dienste, keine Schriften von fremden Servern, keine externen Captcha-Dienste. Wir verkaufen und vermieten keine Adressen und geben nichts an Datenhändler.

WhatsApp ist kein Empfänger, sondern ein Verweis

Auf der Kontaktseite und am Fuß jeder Seite steht ein Verweis auf einen WhatsApp-Kanal. Die Website selbst übermittelt dabei nichts: Erst wenn Sie den Verweis anklicken, verlassen Sie unsere Seite. Wir nennen den Kanal hier trotzdem, weil Sie uns über ihn erreichen können. Die Datenschutzerklärung beschreibt ihn in Abschnitt 4b.

Anbieter des Kanals ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland, ein Unternehmen der Meta-Unternehmensgruppe. Eine Übermittlung in die USA an verbundene Unternehmen ist nicht ausgeschlossen.

Wir nutzen den Kanal ausschließlich für kurze schriftliche Rückfragen. Keine Projektinhalte, keine personenbezogenen Daten Dritter, keine Unterlagen. Nachrichten von dort werden nicht in unsere Systeme übernommen. Alles, was zum Projekt gehört, läuft über Chat, E-Mail oder das Kundenwerkzeug.

Telefon, Video und Teams

Schriftliches ist bei uns kostenfrei; Gespräche kosten Zeit und werden nach Verbrauch berechnet. Video- und Teams-Termine laufen über Microsoft Teams im Rahmen von Microsoft 365 – der Anbieter steht in der Tabelle oben.

Ein Transkript entsteht nur mit der Zustimmung aller Teilnehmer. Wir holen sie zu Beginn des Termins ausdrücklich ein und halten sie im Transkript fest. Widerspricht ein Teilnehmer, wird kein Transkript erstellt; es gibt dann ein schriftliches Ergebnisprotokoll. Zugriff auf das Transkript haben Sie und die am Projekt Beteiligten. Wir bewahren es bis zur Abnahme des Projekts auf, längstens zwölf Monate.

Was an dieser Gruppe inzwischen belegt ist

Drei Punkte standen hier offen. Alle drei sind beantwortet:

• Auftragsverarbeitungsverträge. Mit STRATO, Anthropic und Stripe liegen sie vor.
• Zero Data Retention bei Anthropic. Die Vereinbarung besteht. Ein- und Ausgaben werden dort nicht gespeichert. Das ist keine Voreinstellung, sondern eine gesonderte Vereinbarung — deshalb steht sie hier.
• Verzeichnis von Verarbeitungstätigkeiten. Es liegt nach Art. 30 DSGVO vor, mit einem Eintrag je Werkzeug und je Dienstleister.

Eine frühere Fassung der Datenschutzerklärung führte für Anthropic eine Zertifizierung unter dem EU-US Data Privacy Framework an. Sie ließ sich nicht belegen und wurde am 27. August 2026 entfernt. Tragend sind allein die Standardvertragsklauseln.

In Ihrem Projekt ist es umgekehrt: Dort sind Sie der Verantwortliche, und wir arbeiten in Ihrem Auftrag. Wie wir die Mannschaft dabei einsetzen und verpflichten, gehört deshalb Ihnen gesagt.

Die Mannschaft zählt 21 Personen; vier davon sind im Haus beschäftigt, der Inhaber und drei Angestellte. Auftragnehmer ist allein der Inhaber; wie die Mannschaft an ihn gebunden ist, regeln wir intern.

Jede Person, die an Ihrem Projekt arbeitet, ist schriftlich auf Vertraulichkeit verpflichtet — über das Projektende hinaus und mit denselben Grenzen beim Einsatz von KI-Werkzeugen, die zwischen Ihnen und uns gelten. Kommt jemand aus der Mannschaft seinen Pflichten nicht nach, haften wir Ihnen gegenüber dafür.

Die ganze Mannschaft arbeitet innerhalb der Europäischen Union. Über sie findet keine Übermittlung in ein Drittland statt. Die Dienstleister oben sind davon unberührt — dort steht der Drittlandsbezug in der Tabelle.

Alle arbeiten remote. Niemand kommt zu Ihnen vor Ort. Das ist die Regel des Hauses und steht so in § 3 Abs. 2 unserer Geschäftsbedingungen.

Keine namentliche Auskunft

Namen der Mannschaft nennen wir nicht — weder öffentlich noch Ihnen, auch nicht in Verträgen oder Geheimhaltungsvereinbarungen. Nach außen tritt allein der Inhaber auf; auf der Teamseite stehen Arbeitsnamen. Wechselt innerhalb einer Rolle die Person, bleiben Rolle und Pflichten, wie sie sind; eine Mitteilung darüber gibt es nicht.

Womit sie arbeiten: Echtdaten oder anonymisierte Daten

Beides ist möglich, und Sie entscheiden. Arbeiten wir mit Ihren echten Daten, berühren sie auch die Mannschaft; arbeiten wir mit anonymisierten Daten, tun sie das nicht. Deshalb steht die Frage auf dieser Seite und nicht nur im Vertrag. Was wir dabei nie tun: Produktionsdaten, Datenbankauszüge, Protokolle mit Personenbezug oder Zugangsdaten in ein KI-Werkzeug geben. Die Grenze steht unter Verantwortung.

Der Regelfall sind Echtdaten, weil eine Entwicklung daran belastbarer ist. Sie werden aber nicht stillschweigend eingesetzt: Bevor wir mit Echtdaten arbeiten, fragen wir Sie ausdrücklich. Sie können anonymisierte Daten verlangen; dann arbeiten wir damit.

Ihre Daten bekommen Sie jederzeit heraus

Wir sagen Ihnen zu: Ihre Daten und Unterlagen geben wir Ihnen jederzeit heraus, auf Verlangen und ohne Bedingung. Fällt dieses Haus aus, bekommen Sie zusätzlich den bis dahin geschriebenen Quellcode samt Dokumentation. Vorher nicht — der Quellcode geht nach Zahlung und Abnahme an Sie, so wie es § 7 Abs. 1 der Geschäftsbedingungen regelt.

Die Schaltfläche dafür steht in Mission Control, bei Ihrem Auftrag. Sie fordert an, sie lädt nicht herunter: Die fünf Werktage stehen dafür, dass ein Mensch die Unterlagen zusammenstellt, prüft und übergibt. Eine formlose Nachricht genügt weiterhin auch.

• Umfang: alle Projektunterlagen — Lastenheft, Pflichtenheft, Fahrplan, Protokolle, Schriftverkehr — und alle Daten, die Sie eingebracht haben.
• Format: Dokumente als PDF und als Markdown, Daten als CSV oder JSON, alles zusammen in einem ZIP-Archiv.
• Weg: der Knopf „Unterlagen anfordern" in Mission Control — oder, wie bisher, eine formlose Nachricht über das Kontaktformular oder per E-Mail. Die Herausgabe läuft über einen zeitlich begrenzten Downloadlink.
• Frist: binnen fünf Werktagen nach Eingang Ihrer Anforderung.
• Quellcode im Regelfall: nach vollständiger Zahlung und Abnahme, als Git-Ablage mit vollständiger Historie.

Der Notfall, und wann er vorliegt. Erbringen wir unsere Leistung länger als dreißig zusammenhängende Kalendertage nicht und antworten wir auf zwei schriftliche Aufforderungen im Abstand von je sieben Tagen nicht, erhalten Sie auf Verlangen den bis dahin geschriebenen Quellcode samt Dokumentation — unabhängig vom Zahlungsstand. Sie stellen den Fall in Textform an die Anschrift im Impressum fest. Einen Treuhänder gibt es nicht; die Zusage steht hier und trägt sich selbst.

Nehmen wir einen Dienstleister in die Liste oben auf oder tauschen wir einen aus, unterrichten wir Sie vorher. Art. 28 Abs. 2 DSGVO verlangt das, und Sie können Einspruch erheben, bevor die Änderung wirkt. Eine Liste, von der Sie erst hinterher erfahren, wäre keine.

• Vorlauf: dreißig Tage vor dem geplanten Wechsel.
• Weg: E-Mail an die Adresse, die uns von Ihnen bekannt ist — die aus Ihrer Bestellung oder Ihrem Kundenkonto. Kein Portal, kein Postfach, das Sie erst aufsuchen müssen.
• Inhalt der Unterrichtung: dieselben fünf Angaben wie in der Tabelle oben — Firmierung, Sitz, Zweck, Drittlandsbezug und die Grundlage der Übermittlung.
• Ihr Widerspruch: formlos in Textform an kontakt@masters-of-code.de. Eine Begründung brauchen Sie nicht.
• Ihre Frist: vierzehn Tage ab Zugang der Unterrichtung.

Was auf einen Widerspruch folgt. Widersprechen Sie, arbeiten wir ohne den betroffenen Dienstleister weiter, soweit uns das mit zumutbarem Aufwand möglich ist. Ist es das nicht, kann jede Seite den davon betroffenen Teil des Vertrags mit einer Frist von einem Monat kündigen. Bereits erbrachte Leistungen werden abgerechnet.

Diese Seite ist die jeweils geltende Liste. Sie trägt unten ein Datum. Ändert sich etwas an den Empfängern, ändert sich das Datum — und Sie haben die Unterrichtung vorher bekommen, nicht erst durch diese Seite.

Anfragen zum Datenschutz gehen an die im Impressum genannte Anschrift, zu Händen des Inhabers. Ein Datenschutzbeauftragter ist nicht benannt: Im Haus sind vier Personen beschäftigt, der Inhaber und drei Angestellte. Die Schwelle des § 38 Abs. 1 BDSG — in der Regel mindestens zwanzig ständig mit automatisierter Verarbeitung beschäftigte Personen — ist damit nicht erreicht.

Fassung vom 19. September 2026, mit unserem Rechtsanwalt abgestimmt. Fragen zu dieser Liste an kontakt@masters-of-code.de.