Datenschutzerklärung

Stand: 16.10.2026

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten auf pixelworks.info (nachfolgend „Website"). Pixelworks ist ein Angebot der Deadweight Labs UG (haftungsbeschränkt).

1. Verantwortlicher

Deadweight Labs UG (haftungsbeschränkt)
Kreuzweg 40
82335 Berg, Deutschland
vertreten durch den Geschäftsführer Philipp Leopold Schorn
E-Mail für Datenschutz-Anfragen: privacy@pixelworks.info

2. Datenschutzbeauftragter

Nach § 38 BDSG ist kein Datenschutzbeauftragter zu benennen.

3. Hosting und Edge-Netzwerk (Cloudflare)

Die Website wird als Cloudflare Worker mit Static-Assets-Anbindung auf dem globalen Edge-Netzwerk der Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94103, USA) ausgeliefert. Anfragen werden vom geografisch nächstgelegenen Cloudflare-Rechenzentrum beantwortet; für Besucher aus Deutschland bedeutet dies in aller Regel ein EU-Standort (z. B. Frankfurt am Main).

Beim Aufruf der Website werden durch Cloudflare folgende Daten verarbeitet:

  • IP-Adresse des anfragenden Endgeräts
  • Datum und Uhrzeit der Anfrage
  • HTTP-Methode, angefragte URL und HTTP-Status
  • übertragene Datenmenge in Bytes
  • Referrer (sofern vom Browser übermittelt)
  • User-Agent des Browsers

Zweck: Auslieferung der Website, IT-Sicherheit, DDoS-Abwehr, Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und verfügbaren Betrieb).
Speicherdauer: Diese Logdaten werden nicht dauerhaft auf der Anwendungsebene gespeichert. Cloudflare speichert HTTP-Logs nach eigenen Angaben für maximal 7 Tage und Sicherheits-Logs für maximal 30 Tage.
Drittlandtransfer: USA. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Cloudflare, Inc. ist zertifiziert) sowie ergänzend auf Standardvertragsklauseln der EU-Kommission. Ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO liegt vor.

4. Domain, DNS und Transportverschlüsselung

Auflösung der Domain pixelworks.info, das DNS-Hosting sowie die TLS-Terminierung erfolgen ebenfalls über Cloudflare. Verbindungen zu dieser Website sind durchgehend mit TLS verschlüsselt; das Zertifikat wird automatisch von Cloudflare bereitgestellt und erneuert.

5. Schriftarten

Die Schriftarten Geist und Besley werden ausschließlich vom selben Server wie die Website ausgeliefert (Self-Hosting). Es findet keine Verbindung zu Google Fonts oder anderen Drittanbietern statt; insbesondere wird Ihre IP-Adresse nicht an Google übertragen.

6. Web-Analyse: Google Analytics 4

Diese Website nutzt Google Analytics 4 der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), Mutterunternehmen: Google LLC, USA. Google Analytics setzt Cookies und ähnliche Speichertechnologien ein, um die Nutzung der Website auszuwerten und Reichweitenmessung zu betreiben.

Verarbeitete Daten: u. a. gekürzte IP-Adresse, Geräte- und Browserkennungen, besuchte Seiten, Verweildauer, Klick- und Scrollverhalten, Referrer, ungefähre Standortdaten (Land/Region), Zeitstempel.
Zweck: Statistische Auswertung der Nutzung, Verbesserung der Inhalte und Performance.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (Einwilligung). Die Verarbeitung erfolgt ausschließlich nach Ihrer aktiven Zustimmung über das Cookie-Banner. Ohne Einwilligung wird Google Analytics nicht geladen und es werden keine Analyse-Cookies gesetzt; technisch wird dies über den Google Consent Mode v2 (Standard-Einstellung „denied") sichergestellt.
Speicherdauer: Wir haben in Google Analytics eine Speicherdauer der ereignisbezogenen Daten von 14 Monaten konfiguriert; danach werden sie automatisch gelöscht. Die im Browser gesetzten Cookies haben eine Lebensdauer von bis zu 24 Monaten und können von Ihnen jederzeit über die Browser-Einstellungen entfernt werden.
Empfänger / Drittlandtransfer: Google Ireland Limited als Vertragspartner; Datenverarbeitung kann in den USA stattfinden. Der Transfer stützt sich auf das EU-US Data Privacy Framework (Google LLC ist zertifiziert) sowie auf Standardvertragsklauseln. Ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO ist abgeschlossen.
Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie unten auf der Seite den Link „Cookie-Einstellungen" anklicken und „Ablehnen" wählen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Weitere Informationen zur Datenverarbeitung durch Google finden Sie in der Datenschutzerklärung von Google: https://policies.google.com/privacy.

7. Cookies und Speichertechnologien

Cookies sind kleine Textdateien, die in Ihrem Browser abgelegt werden. Diese Website setzt nur dann Cookies, wenn dies technisch erforderlich ist oder Sie eingewilligt haben.

  • Technisch notwendig (keine Einwilligung erforderlich): Im localStorage Ihres Browsers wird der Schlüssel pw_consent abgelegt, sobald Sie sich für „Einverstanden" oder „Ablehnen" entscheiden. Dieser Eintrag verhindert, dass das Cookie-Banner bei jedem Besuch erneut erscheint, und enthält ausschließlich den Wert granted oder denied. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (zwingend erforderlich, um den vom Nutzer gewünschten digitalen Dienst zu erbringen).
  • Analyse-Cookies (nur mit Einwilligung): Werden ausschließlich gesetzt, wenn Sie im Banner „Einverstanden" wählen. Siehe Abschnitt 6.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail oder über das Kontaktformular kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, im Formular optional Betrieb und Ort sowie den Inhalt Ihrer Nachricht.

Das Kontaktformular übermittelt Ihre Eingaben als E-Mail an unser Postfach. Für den Versand nutzen wir den E-Mail-Dienst Resend der Plus Five Five, Inc. (2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter. Die Formulareingaben werden dabei nicht in einer eigenen Datenbank gespeichert. Drittlandtransfer: USA. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework (Plus Five Five, Inc. ist zertifiziert) sowie auf Standardvertragsklauseln der EU-Kommission, die Teil des Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO sind.

Zweck: Beantwortung Ihrer Anfrage, Anbahnung oder Erfüllung eines Vertrags.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme oder Vertragserfüllung) bzw. lit. f DSGVO (berechtigtes Interesse an der Bearbeitung der Anfrage).
Speicherdauer: Bis zum Abschluss des Vorgangs, längstens 12 Monate nach letztem Kontakt; gesetzliche Aufbewahrungsfristen bleiben unberührt.

9. Lead-Vorschauen auf Subdomains

Auf passwortgeschützten Subdomains (<name>.pixelworks.info) zeigen wir individuellen Interessenten gezielt erstellte Vorschau-Seiten. Der Zugang ist über einen persönlichen Magic-Link bzw. ein Passwort möglich; die Seiten sind nicht öffentlich erreichbar und werden mit noindex, nofollow ausgeliefert.

Auf diesen Subdomains werden zwei technisch notwendige Datenpunkte verarbeitet, jeweils auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG:

  • Ein Session-Cookie __pw_lead mit einer kryptografischen Signatur, das ausschließlich der Authentifizierung dient (Lebensdauer 30 Tage).
  • Ein kurzlebiger Rate-Limit-Eintrag in einem Cloudflare-KV-Store, der gehashte IP-Adresse + Subdomain für maximal 60 Sekunden vorhält, um Brute-Force-Versuche abzuwehren.

Auf Lead-Subdomains wird Google Analytics nicht eingebunden.

10. Kundenportal (kunden.pixelworks.info)

Für unsere Kundinnen und Kunden betreiben wir unter kunden.pixelworks.info ein Kundenportal. Dort beantworten Sie Fragen zu Ihrer Website (auf Wunsch per Sprachaufnahme), laden Bilder hoch, geben Rückmeldung zu Entwürfen, reichen Nachträge nach und nehmen die fertige Website ab. Das Portal steht nur Kunden offen, mit denen wir einen Vertrag über die Erstellung einer Website geschlossen haben oder anbahnen.

Welche Daten wir verarbeiten

  • Zugangsdaten: Name, E-Mail-Adresse und Kundennummer (z. B. PW-1001).
  • Login per E-Mail-Link: Sie melden sich mit einem Link an, den wir an Ihre E-Mail-Adresse schicken. Der Link enthält einen zufälligen Token, der 20 Minuten gültig ist und nur einmal funktioniert; Links, die wir Ihnen persönlich schicken (etwa zum Start oder zu einer neuen Runde), gelten bis zu 14 Tage. Wir speichern vom Token nur einen SHA-256-Hash sowie Erstellungs-, Ablauf- und Einlösezeitpunkt.
  • Passwort (optional): Ein Passwort ist nicht erforderlich. Setzen Sie eines, speichern wir es ausschließlich als kryptografischen Hash (PBKDF2-SHA256 mit Salt).
  • Eingaben im Portal: Antworten auf unsere Fragen (z. B. Texte, Öffnungszeiten, Preise, Farbwünsche), Anmerkungen, Farbvorschläge, Rückmeldungen zu einzelnen Seiten der Vorschau sowie Nachträge (Text bis 2000 Zeichen, mit Datum, nachträglich nicht änderbar; Nachträge gehen zusätzlich als E-Mail an uns).
  • Hochgeladene Bilder: Fotos und Grafiken für Ihre Website (JPEG, PNG, WebP oder HEIC, höchstens 10 MB je Datei). Bitte laden Sie nur Bilder hoch, an denen Sie die nötigen Rechte haben; sind Personen erkennbar, sind Sie für deren Einverständnis verantwortlich.
  • Sprachaufnahmen: Bei Textfragen können Sie statt zu tippen etwas einsprechen. Die Aufnahme entsteht in Ihrem Browser (höchstens 5 Minuten) und wird erst hochgeladen, wenn Sie sie behalten; vorher können Sie sie anhören und verwerfen. Alternativ können Sie eine Audiodatei hochladen (WebM, Ogg, MP4/M4A, MP3 oder WAV, höchstens 10 MB). Ihre Stimme ist ein personenbezogenes Datum; wir transkribieren Aufnahmen nicht automatisch und geben sie nicht an Dritte weiter. Das Mikrofon wird nur nach Ihrer ausdrücklichen Freigabe im Browser genutzt.
  • Abnahme-Nachweis: Nehmen Sie Ihre Website im Portal verbindlich ab, speichern wir den von Ihnen getippten Namen, Datum und Uhrzeit, die abgenommene Version der Vorschau, den Wortlaut der Abnahmeerklärung mit Prüfsumme, die bestätigten Dokumente, die IP-Adresse und den User-Agent Ihres Geräts zum Zeitpunkt der Abnahme sowie die Anmeldemethode (Link oder Passwort). Zusätzlich halten wir Name, Kundennummer, Domain des Projekts und Nummer der Runde als Schnappschuss fest.
  • Sitzungs-Cookie: Nach dem Login setzen wir das technisch notwendige Cookie __pw_portal (30 Tage, gültig für pixelworks.info und die Vorschau-Subdomains, damit die Vorschau Ihren Login erkennt). Es enthält eine signierte Sitzungskennung, keine Tracking-Daten. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG. Im Portal setzen wir keine Analyse- oder Marketing-Cookies.
  • Schutz vor Missbrauch: Fehlgeschlagene Anmeldungen zählen wir kurzzeitig je IP-Adresse und Kundennummer, Anforderungen von Login-Links je IP-Adresse und E-Mail-Adresse (letztere nur als Hash). Diese Zähler verfallen nach 15 Minuten. Darüber hinaus speichern wir beim Login keine IP-Adressen.

Zwecke und Rechtsgrundlagen

Bereitstellung des Portals, Login, Antworten, Sprachaufnahmen, Uploads, Nachträge, Rückmeldungen und E-Mail-Benachrichtigungen (Login-Link, „neue Runde freigeschaltet“, Bestätigung der Abnahme): Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Erfüllung des Vertrags über Ihre Website). Abnahme-Nachweis einschließlich IP-Adresse und User-Agent: Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse, die Abnahme im Streitfall belegen zu können (Art. 6 Abs. 1 lit. f DSGVO). Begrenzung von Login-Versuchen: berechtigtes Interesse an der Sicherheit des Portals (Art. 6 Abs. 1 lit. f DSGVO). Die Login-Mail versenden wir nur auf Ihre Anforderung; die Seite antwortet unabhängig davon gleich, ob die Adresse bei uns bekannt ist.

Wo die Daten liegen und wer sie verarbeitet

Datenbank und Dateispeicher des Portals (Cloudflare D1 und R2) sind auf den Speicherort EU festgelegt; im Übrigen gilt Abschnitt 3. Die E-Mails des Portals versendet Resend als Auftragsverarbeiter, siehe Abschnitt 8; Antworten auf diese Mails gehen an die Ansprechperson, die Ihr Projekt betreut (deren Name und Kontaktdaten sehen Sie im Portal). Antworten, Sprachaufnahmen, Bilder, Nachträge und Abnahme-Nachweise laden wir zur Bearbeitung Ihres Projekts auf unsere Arbeitsrechner herunter.

Speicherdauer

  • Zugangsdaten, Antworten, Rückmeldungen, Nachträge: solange Ihr Projekt läuft und wir Sie betreuen. Danach löschen wir Ihren Kunden-Eintrag auf Wunsch oder spätestens, wenn der Zweck entfallen ist und keine Aufbewahrungspflichten bestehen. Gelöscht werden dann gemeinsam Konto, Sitzungen, Login-Links, Projekte, Runden, Antworten, Farbvorschläge, Seitenbewertungen, Nachträge und alle noch im Portal liegenden Uploads.
  • Bilder und Sprachaufnahmen: Wir übernehmen sie in Ihr Projekt und löschen sie danach aus dem Portal (Datei und Datenbankeintrag). Im Portal steht dann „Datei übernommen und aus dem Portal entfernt“.
  • Abnahme-Nachweis: bis zum Ende der Gewährleistungsfrist für die abgenommene Leistung, bei gesetzlichen Aufbewahrungspflichten entsprechend länger. Wird Ihr Konto vorher gelöscht, bleiben nur die Schnappschuss-Felder (Name, Kundennummer, Domain, Rundennummer) bis zum Fristende als Vertragsnachweis bestehen (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO).
  • Login-Zähler: 15 Minuten. Sitzungs-Cookie: 30 Tage oder bis zum Abmelden bzw. Passwortwechsel.

Für Fragen zum Portal oder zur Löschung Ihres Zugangs genügt eine E-Mail an hallo@pixelworks.info; Ihre Rechte nach Abschnitt 11 gelten unverändert.

11. Ihre Rechte

Sie haben nach Art. 15 ff. DSGVO folgende Rechte:

  • Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15)
  • Berichtigung unrichtiger Daten (Art. 16)
  • Löschung (Art. 17)
  • Einschränkung der Verarbeitung (Art. 18)
  • Datenübertragbarkeit (Art. 20)
  • Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21)
  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung dieser Rechte genügt eine formlose E-Mail an privacy@pixelworks.info.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Sie können sich insbesondere an die Aufsichtsbehörde an Ihrem Wohnort, Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes wenden. Für uns zuständig ist das

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach

13. Automatisierte Entscheidungen und Profiling

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO einschließlich Profiling findet nicht statt.

14. Pflicht zur Bereitstellung

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Ihre E-Mail-Adresse ist eine Beantwortung einer Kontaktanfrage jedoch nicht möglich.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die tatsächliche Datenverarbeitung ändert (z. B. Einführung weiterer Analyse-Tools oder Drittanbieter). Die jeweils aktuelle Fassung ist stets unter dieser URL abrufbar.