Datenschutzerklärung

1. Verantwortlicher

Krocker & Tütünen GbR, Bobziner Weg 12, 19386 Lübz, Deutschland
E-Mail: support@mcpwerk.com · Telefon: 0151 65183972

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Schwellenwerte (Art. 37 DSGVO, § 38 BDSG) nicht erreicht werden.

2. Überblick: Was mcpwerk macht

mcpwerk stellt gehostete MCP-Server bereit, mit denen du deine eigenen Google-Marketing-Daten (Search Console, Google Analytics 4, Google Ads, Google Tag Manager) in KI-Assistenten wie Claude oder ChatGPT nutzen kannst. Die gesamte Verarbeitung durch uns findet auf Servern in Nürnberg, Deutschland statt (Hetzner Online GmbH). Alle Verbindungen sind per TLS verschlüsselt (HTTPS).

3. Hosting und Server-Logs

Diese Website und alle MCP-Dienste werden auf Servern der Hetzner Online GmbH (Gunzenhauser Str. 6, 91710 Gunzenhausen, Deutschland) betrieben; mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Unser Webserver protokolliert bei jedem Aufruf IP-Adresse, Zeitpunkt, aufgerufene URL, Statuscode und User-Agent. Diese Logs dienen der Betriebssicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO) und werden nach 14 Tagen automatisch gelöscht.

4. Cookies und Einwilligung (Consent-Management)

Technisch notwendige Cookies setzen wir ohne Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b und f DSGVO):

• Login-Session-Cookie (better-auth, u. a. session_token): hält dich nach der Anmeldung eingeloggt; httpOnly und Secure; Gültigkeit der Sitzung, danach ungültig.
• mcpwerk_gconnect: sichert den Vorgang „Google-Konto verbinden“ gegen Missbrauch (CSRF-Schutz); Lebensdauer 10 Minuten.
• cc_consent: speichert deine Auswahl im Cookie-Banner (Lebensdauer 12 Monate). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung).

Consent-Tool: Für die Einwilligungsverwaltung setzen wir ein selbst betriebenes Consent-Tool ein (Eigenbetrieb auf eigener Infrastruktur in Deutschland, kein Drittanbieter). Beim ersten Besuch erscheint ein Banner, in dem du einzelne Kategorien und Dienste aktivieren oder ablehnen kannst. Sendet dein Browser ein „Global Privacy Control“-Signal (GPC), werten wir das als Ablehnung. Zum Nachweis deiner Entscheidung (Art. 7 Abs. 1 DSGVO) protokollieren wir Zeitpunkt, getroffene Auswahl und Konfigurationsversion auf unseren eigenen Servern. Deine Auswahl kannst du jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Seitenfuß ändern oder widerrufen.

Einwilligungspflichtige Dienste: Die folgenden Dienste laden wir ausschließlich, nachdem du im Banner aktiv eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung werden keine der genannten Cookies gesetzt und keine Daten an die Anbieter übertragen.

Google Tag Manager (Kategorie „Statistik“)

Tag-Verwaltungssystem der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), über das wir Analyse- und Marketing-Tags zentral ausspielen. Beim Laden des Containers werden IP-Adresse, Browser-/Geräteinformationen, aufgerufene Seite und Einwilligungsstatus an Google übertragen; GTM selbst legt keine Nutzerprofile an. Eine Übermittlung in die USA (Google LLC) ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert.

Google Analytics 4 (Kategorie „Statistik“)

Webanalysedienst der Google Ireland Limited zur Reichweitenmessung (aufgerufene Seiten, Sitzungsdauer, Herkunft, Geräteinformationen; pseudonyme Client-ID, gekürzte IP-Adresse). Cookies: u. a. _ga, _ga_* (Lebensdauer bis zu 2 Jahre), _gid, _gat. Die Ereignisdaten werden bei Google gemäß der in der Property eingestellten Aufbewahrungsdauer gespeichert. USA-Übermittlung möglich (DPF-zertifiziert).

Google Ads Conversion-Tracking (Kategorie „Marketing“)

Werbedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Misst, ob ein Besuch oder Abschluss (z. B. eine Abo-Buchung) auf eine zuvor angeklickte Google-Anzeige zurückgeht, damit wir den Erfolg unserer Anzeigen auswerten und abrechnen können. Verarbeitet werden u. a. Klick-Kennungen (GCLID), Cookie-IDs, gekürzte IP-Adresse, besuchte Seiten sowie Conversion-Ereignisse samt Bestellwert. Cookies: _gcl_au, _gcl_aw, _gcl_dc (i. d. R. 90 Tage). Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG; Consent-Mode-Signal ad_storage). Eine Übermittlung in die USA (Google LLC) ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert.

Google Ads Remarketing (Kategorie „Marketing“)

Ermöglicht interessenbezogene Werbung der Google Ireland Limited: Dein Browser wird über Werbe-Cookies der Domain doubleclick.net wiedererkannt, sodass dir auf Google-Diensten und Partnerseiten Anzeigen auf Basis deines Besuchs bei uns gezeigt werden können (Zielgruppenlisten). Verarbeitet werden Cookie- und Geräte-Kennungen, besuchte Seiten und Interaktionen. Cookies (Drittanbieter): u. a. IDE (bis 13 Monate), test_cookie (15 Minuten), NID (6 Monate), 1P_JAR, ANID, DSID, RUL. Rechtsgrundlage: deine gesonderte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG; Consent-Mode-Signal ad_personalization). USA-Übermittlung möglich (DPF-zertifiziert). Personalisierte Werbung kannst du zusätzlich in deinem Google-Konto unter myadcenter.google.com deaktivieren.

Google Ads erweiterte Conversions (Kategorie „Marketing“)

Ergänzung zum Conversion-Tracking („Enhanced Conversions“) der Google Ireland Limited für eine genauere Zuordnung von Abschlüssen, wenn Cookies dafür nicht ausreichen. Sofern du eingewilligt hast, werden bei einem Abschluss die von dir angegebenen Kontaktdaten (E-Mail-Adresse, ggf. Name und Telefonnummer) noch in deinem Browser mit dem Einwegverfahren SHA-256 gehasht und ausschließlich in dieser pseudonymisierten Form an Google übermittelt – im Klartext verlassen sie deinen Browser nicht. Google gleicht den Hashwert mit gehashten Daten eingeloggter Google-Konten ab, ordnet die Conversion zu und löscht die übermittelten Hashwerte nach dem Abgleich. Dieser Dienst setzt keine Cookies und greift nicht auf dein Endgerät zu (§ 25 TDDDG findet daher keine Anwendung). Rechtsgrundlage: deine gesonderte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; Consent-Mode-Signal ad_user_data), jederzeit über die Cookie-Einstellungen im Seitenfuß widerrufbar. USA-Übermittlung möglich (DPF-zertifiziert).

YouTube-Videos (Zwei-Klick-Lösung; Kategorie „Marketing“ nur für die Messung)

Auf einzelnen Seiten binden wir Erklärvideos von YouTube (Google Ireland Limited) ein – bewusst datenschutzschonend: Beim Aufruf der Seite wird keine Verbindung zu YouTube aufgebaut; du siehst zunächst nur ein von uns selbst gehostetes Vorschaubild mit einem Hinweis. Erst wenn du aktiv auf „Video ansehen“ klickst, lädt der Player im erweiterten Datenschutzmodus (youtube-nocookie.com). Dabei erhält Google deine IP-Adresse, Browser-/Geräteinformationen und das abgespielte Video; Cookies setzt der Player in diesem Modus nicht, und YouTube verwendet die Daten nach eigenen Angaben nicht für personalisierte Werbung. Rechtsgrundlage für die Wiedergabe: deine Einwilligung durch den aktiven Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) – ohne Klick findet keinerlei Verarbeitung durch Google statt.

Wiedergabe-Messung (nur mit Banner-Einwilligung): Hast du im Cookie-Banner zusätzlich in den Dienst „YouTube-Videos“ eingewilligt, laden wir beim Abspielen die YouTube-Player-Schnittstelle von www.youtube.com, um Start, Fortschritt und Abschluss des Videos für unsere Statistik (Google Analytics 4) zu messen. Dabei setzt YouTube Cookies: YSC (Sitzung), VISITOR_INFO1_LIVE, VISITOR_PRIVACY_METADATA, __Secure-YNID, __Secure-ROLLOUT_TOKEN (je 6 Monate). Rechtsgrundlage: deine gesonderte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), jederzeit über die Cookie-Einstellungen im Seitenfuß widerrufbar. Ohne diese Einwilligung spielt das Video ohne Cookies und ohne Messung ab. Eine Übermittlung in die USA (Google LLC) ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert. Details: policies.google.com/privacy.

Meta-Pixel (Kategorie „Marketing“)

Analyse- und Marketing-Werkzeug der Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland) für Werbung auf Facebook und Instagram. Erfasst Ereignisse auf der Website (z. B. Seitenaufrufe, Abschlüsse) samt IP-Adresse, Geräte-/ Browserinformationen und Referrer und übermittelt sie an Meta; dort können die Daten mit Meta-Konten verknüpft werden. Für die Erhebung und Übermittlung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Weiterverarbeitung verantwortet Meta. Cookies: _fbp, _fbc (je 90 Tage), fr (90 Tage, Drittanbieter-Cookie). Übermittlung in die USA möglich (Meta Platforms, Inc. ist DPF-zertifiziert).

5. Konto und Login

Du kannst ein Konto per „Mit Google anmelden“ oder per E-Mail und Passwort erstellen. Beim Google-Login erhalten wir von Google Namen, E-Mail-Adresse und eine Konto-ID; beim E-Mail-Login speichern wir E-Mail-Adresse, Namen und dein Passwort ausschließlich als kryptografischen Hash. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Diese Daten speichern wir für die Dauer deines Kontos. Du kannst dein Konto jederzeit selbst im Kundenportal (Profil → „Konto unwiderruflich löschen“) löschen – dabei werden alle deine Daten von unseren Servern entfernt, laufende Abos beendet und der Google-Zugriff widerrufen; nur gesetzlich aufbewahrungspflichtige Nachweise (Rechnungen, Kündigungsbestätigungen) bleiben für die Dauer der Fristen erhalten.

Zu jeder aktiven Anmeldesitzung speichern wir zusätzlich IP-Adresse und Browser-Kennung (User-Agent), um Sitzungen abzusichern und Missbrauch zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Diese Sitzungsdaten werden mit Ablauf bzw. Abmeldung der Sitzung gelöscht.

Support-Zugriffe:Zur Fehleranalyse und Unterstützung kann unser Support-Team dein Kundenkonto in einem gekennzeichneten Support-Modus einsehen (Ansicht deines Portals, z. B. Abo-Status und Verbindungseinstellungen). Solche Zugriffe erfolgen nur anlassbezogen (etwa zur Bearbeitung deiner Support-Anfrage), sind zeitlich begrenzt, können keine unumkehrbaren Aktionen ausführen und werden mit Zeitpunkt, Grund und handelnder Person protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/Support) bzw. lit. f DSGVO (Sicherstellung des ordnungsgemäßen Betriebs).

6. Abo und Zahlung

Die Zahlungsabwicklung übernimmt Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin, Irland; Mutterkonzern in den USA). Zahlungsdaten (z. B. Kartennummern) gibst du direkt bei Stripe ein; wir selbst speichern keine Zahlungsdaten, sondern nur Abo-Status und Stripe-Referenzen. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Rechnungs-/Buchhaltungsdaten zusätzlich Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten). Im Bezahlvorgang setzt Stripe technisch notwendige Cookies zur Zahlungsabwicklung und Betrugsprävention (u. a. __stripe_mid, 1 Jahr; __stripe_sid, 30 Minuten) – Rechtsgrundlage insoweit § 25 Abs. 2 Nr. 2 TDDDG.

7. Google-Verbindung und Marketing-Daten

Wenn du dein Google-Konto verbindest, speichern wir das dafür nötige Zugriffstoken (Refresh-Token) AES-256-GCM-verschlüsselt sowie die von dir gewählten Berechtigungsstufen. Deine Marketing-Daten (z. B. Suchanfragen-Statistiken, Analytics-Reports, Kampagnendaten) rufen wir ausschließlich auf deine Anfrage bei Google ab und leiten sie unmittelbar an deinen KI-Client weiter – wir speichern diese Inhalte nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Trennst du die Verbindung, löschen wir das Token sofort und widerrufen es bei Google.

8. Nutzungs-Logs

Zur Missbrauchserkennung und Abrechnung protokollieren wir Tool-Aufrufe (Name des Tools, Zeitpunkt, Dauer, Status – ohne Dateninhalte). Diese Logs werden nach 90 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Betriebssicherheit, Abrechnung).

9. Kontaktformular und Support-E-Mails

Wenn du unser Kontaktformular nutzt oder uns per E-Mail schreibst, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, Betreff, Nachricht) zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Du erhältst eine automatische Eingangsbestätigung. Der E-Mail-Versand und unser Postfach laufen über die Hetzner Online GmbH (Deutschland). Wir löschen Support-Korrespondenz, sobald sie für die Bearbeitung und Nachweiszwecke nicht mehr erforderlich ist.

10. Kündigungs- und Widerrufserklärungen

Erklärungen über den Kündigungsbutton (§ 312k BGB) oder dein Widerruf werden mit Eingangszeitpunkt und Referenznummer dokumentiert; du erhältst sofort eine Bestätigung per E-Mail. Diese Nachweise bewahren wir für die Dauer der gesetzlichen Verjährungsfristen auf. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und c DSGVO.

11. Google API Services: Limited-Use-Erklärung

Die Nutzung der von Google-APIs erhaltenen Daten durch mcpwerk unterliegt der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Konkret bedeutet das:

• Wir rufen Google-Nutzerdaten ausschließlich ab, um die von dir angeforderte MCP-Funktion bereitzustellen (Anzeige deiner Daten in deinem KI-Client).
• Wir verkaufen Google-Nutzerdaten nicht und geben sie nicht an Dritte weiter.
• Wir nutzen Google-Nutzerdaten nicht für Werbung.
• Wir verwenden Google-Nutzerdaten nicht zum Training von KI-/ML-Modellen – weder eigenen noch fremden.
• Menschen erhalten keinen Lesezugriff auf diese Daten, außer mit deiner ausdrücklichen Einwilligung, aus Sicherheitsgründen oder wenn gesetzlich vorgeschrieben.

Hinweis: Die Daten fließen auf deine Anfrage in deine eigene Claude- bzw. ChatGPT-Umgebung. Ob dein KI-Anbieter Unterhaltungen zu Trainingszwecken verwendet, richtet sich nach dessen Einstellungen und Datenschutzbestimmungen – prüfe dort deine Trainings-Opt-outs.

12. Empfänger und Drittlandtransfers

• Hetzner Online GmbH, Deutschland – Server-Infrastruktur und E-Mail-Postfächer (Auftragsverarbeiter, AVV geschlossen)
• Stripe Payments Europe Ltd., Irland/USA – Zahlungsabwicklung (DPF-zertifiziert)
• Google Ireland Ltd. / Google LLC, Irland/USA – Quelle deiner Marketing-Daten aus deinem eigenen Google-Vertragsverhältnis; US-Transfer auf Basis des EU-US Data Privacy Framework
• Dein KI-Anbieter (z. B. Anthropic oder OpenAI, USA) – Empfänger der von dir angeforderten Daten; die Übertragung erfolgt ausschließlich auf deine Veranlassung in deine eigene KI-Umgebung

Details zum Datenfluss findest du auf unserer Seite Sicherheit & Hosting, ein Transfer Impact Assessment (TIA) steht dort zum Download bereit.

13. Keine externen Inhalte, lokale Schriftarten

Diese Website lädt keine Inhalte von Drittservern: Schriftarten sind lokal eingebunden (kein Abruf bei Google Fonts), es gibt keine externen Skripte, Tracking-Pixel oder eingebettete Inhalte Dritter. Beim Besuch dieser Website wird deine IP-Adresse daher an niemanden außer unseren Hosting-Anbieter übermittelt.

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Dein Löschrecht kannst du direkt selbst ausüben: im Kundenportal unter Profil → „Konto unwiderruflich löschen“. Für alles Weitere wende dich formlos an support@mcpwerk.com.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (z. B. Logs), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Beruht eine Verarbeitung auf deiner Einwilligung, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren – für uns zuständig ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern.

15. Speicherdauer im Überblick

• Server-Logs: 14 Tage
• Nutzungs-Logs (Tool-Aufrufe): 90 Tage
• Anmeldesitzungen (inkl. IP/User-Agent): bis Sitzungsende
• Google-Token: bis du die Verbindung trennst (dann sofortige Löschung)
• Durchgeleitete Marketing-Dateninhalte: keine Speicherung
• Kontodaten: Dauer des Kontos, danach Löschung
• Rechnungs- und Vertragsnachweise: gesetzliche Fristen (z. B. § 147 AO: bis zu 10 Jahre)
• Kündigungs-/Widerrufsnachweise: gesetzliche Verjährungsfristen

16. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

17. Pflicht zur Bereitstellung

Die Bereitstellung von E-Mail-Adresse und Zahlungsdaten ist für den Vertragsschluss erforderlich – ohne sie können wir kein Konto bzw. Abo bereitstellen. Alle weiteren Angaben sind freiwillig.

18. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung; wesentliche Änderungen kündigen wir per E-Mail an.