Verantwortlicher
Martin Hübner, Kremper Straße 8, 20251 Hamburg, Deutschland. E-Mail: contact@martinhuebner.me. Für die hier beschriebenen Verarbeitungen bin ich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Die vollständige Anbieterkennzeichnung finden Sie im Impressum.
Besuch dieser Website
Diese Website ist statisch. Sie setzt keine Cookies, verwendet keine Analyse-Werkzeuge und bindet keine Tracking-Pixel ein. Es gibt keine Formulare und keinen Newsletter — hier lässt sich also nichts abschicken; der einzige Kontaktweg ist ein mailto:-Link, der Ihr eigenes E-Mail-Programm mit einer leeren Nachricht öffnet. Bei mir kommt nichts an, bevor Sie sie geschrieben und gesendet haben. Der Aufruf einer Seite löst keine Anfrage an Dritte aus: Die Schriften werden von dieser Domain ausgeliefert und nicht von einem Font-Anbieter, es erfährt also kein weiteres Unternehmen von Ihrem Besuch.
Hosting und Server-Logs
Gehostet wird die Website von Netlify, Inc., San Francisco, Kalifornien, USA, als Auftragsverarbeiter nach meinen Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die Auslieferung einer Seite erzeugt zwangsläufig Server-Logdaten: Ihre IP-Adresse, den Zeitpunkt der Anfrage, die angefragte URL und die User-Agent-Angabe Ihres Browsers. Diese Daten werden verarbeitet, um die Website auszuliefern, verfügbar zu halten und gegen Angriffe zu verteidigen, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; ich führe sie mit nichts anderem zusammen und nutze sie nicht, um Besucher zu identifizieren. Netlify ist ein US-Anbieter; diese Logdaten werden daher in die USA übermittelt. Getragen wird diese Übermittlung von zwei Instrumenten, in dieser Reihenfolge. Erstens von einem Angemessenheitsbeschluss: Netlify erklärt, das EU-U.S. Data Privacy Framework einzuhalten und die Einhaltung seiner Grundsätze gegenüber dem US-Handelsministerium zertifiziert zu haben; das Framework selbst beruht auf dem Durchführungsbeschluss (EU) 2023/1795 der Kommission — eine davon erfasste Übermittlung braucht keine zusätzliche Garantie. Zweitens von einem Rückfallweg: Wird das Framework für unwirksam erklärt oder verlängert Netlify die Zertifizierung nicht, treten nach § 14.3 des Auftragsverarbeitungsvertrags die EU-Standardvertragsklauseln an seine Stelle (Durchführungsbeschluss (EU) 2021/914, Modul Zwei, Verantwortlicher an Auftragsverarbeiter), während § 14.2 desselben Vertrags das Framework zum vorrangigen Weg macht. Dieses Dokument ist zugleich der Weg, eine Kopie der Garantien zu erhalten — das verlangt Art. 13 Abs. 1 lit. f DSGVO über die Benennung hinaus. Eine Einschränkung, offen gesagt: Geprüft habe ich Netlifys eigenen Vertrag und seine Datenschutzerklärung (beide gelesen am 21. August 2026), nicht die offizielle Teilnehmerliste — belegt ist das hier also durch die eigene veröffentlichte Erklärung des Anbieters, und eine Zertifizierung gilt je Unternehmen und kann auslaufen. Genau deshalb steht der Rückfallweg mit dabei: Der Absatz bleibt richtig, auch wenn das Framework es nicht bleibt.
Wie ich Menschen auf meine Arbeit anspreche
Ich spreche eine kleine Zahl von Organisationen direkt an. Dafür erhebe ich geschäftliche Kontaktdaten von Personen in ihrer beruflichen Rolle — der Person, die für ein Thema meiner Arbeit zuständig ist — aus öffentlich zugänglichen Unternehmensseiten wie Team-, Leitungs-, Impressums-, Presse- und Karriereseiten sowie aus öffentlich lesbaren beruflichen Profilen. Zweck ist Direktwerbung: eine individuell geschriebene Ansprache zu den auf dieser Website beschriebenen Leistungen, und genau das steht auch in der Nachricht. Diese Benennung ist Absicht, denn Direktwerbung ist der Vorgang, an dem das unbedingte Widerspruchsrecht weiter unten hängt. Die Ansprache ist eine begrenzte Folge und keine Kampagne: höchstens drei Nachrichten über etwa drei Wochen, danach kein weiterer Kontakt — ob Sie antworten oder nicht. Es gibt keine Verteilerliste, keinen Massenversand und keinen automatisierten Versand. Die Entwürfe entstehen KI-gestützt; gelesen, überarbeitet und verschickt wird jede Nachricht von mir, einzeln. Was dahinter an Einschätzung steht, ist ein fachliches Urteil über die geschäftliche Passung — ob das Thema plausibel bei dieser Person liegt, ob eine Ansprache überhaupt sinnvoll ist —, und ob geschrieben wird, entscheide ich. Über Sie wird keine Entscheidung ausschließlich automatisiert getroffen, und keine hat rechtliche Wirkung für Sie oder beeinträchtigt Sie in ähnlicher Weise erheblich.
Rechtsgrundlage
Beide Vorgänge stützen sich auf berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO. Bei der Website besteht dieses Interesse darin, Ihnen eine funktionierende und sichere Seite auszuliefern. Bei der Ansprache ist es, fachliche Leistungen dort anzubieten, wo sie plausibel gebraucht werden; ich habe das gegen Ihr Interesse abgewogen, nicht angesprochen zu werden. Die Abwägung trägt nur wegen der Grenzen, die dazugehören: Ich schreibe Personen ausschließlich in ihrer beruflichen Rolle und ausschließlich an geschäftliche Adressen, nie an eine private Adresse oder eine private Nummer; jede Person erhält eine kurze, begrenzte Folge von Nachrichten statt einer offenen Kampagne; und ein Widerspruch beendet den Kontakt sofort und dauerhaft. Wenn Sie mir sagen, dass die Abwägung in Ihrem Fall falsch ausgegangen ist, entscheidet das die Sache — siehe den Abschnitt zum Widerspruch.
Woher Ihre Daten stammen
Art. 14 Abs. 2 lit. f DSGVO verlangt, dass ich Ihnen die Quelle von Daten nenne, die ich nicht bei Ihnen erhoben habe, und ob sie aus öffentlich zugänglichen Quellen stammen. Sie stammen daraus, und die Kategorien nennt der Abschnitt zur Ansprache oben: öffentliche Unternehmensseiten und öffentlich lesbare berufliche Profile. Über diese Anforderung hinaus gibt es eine Arbeitsgewohnheit, die zu nennen sich lohnt, weil sie eine Rückfrage praktisch beantwortbar macht: Ein Kontaktdatensatz führt seine Herkunft mit sich, zu jeder Angabe die öffentliche URL, aus der sie stammt, samt dem Datum, an dem sie gelesen wurde. Wenn Sie also fragen, welche Seite Sie als zuständig für ein bestimmtes Thema nennt, kann ich Ihnen diese Seite und dieses Datum nennen — und wenn eine Quelle inzwischen verschoben oder verschwunden ist, auch das. Kein Bestandteil eines Kontaktdatensatzes stammt von einem Datenhändler, aus einer gekauften Liste oder von einem Anbieter für Lead-Generierung.
Welche Daten ich verarbeite
Zu einem geschäftlichen Kontakt: Name, berufliche Rolle oder Funktion, Arbeitgeber, geschäftliche Kontaktdaten (dienstliche E-Mail-Adresse und, soweit das Unternehmen eine veröffentlicht, dienstliche Telefonnummer) sowie beruflich veröffentlichte Äußerungen der Person selbst — ein Vortrag, ein Fachartikel, eine Stellenanzeige, in der sie genannt ist. Was bewusst nicht dabei ist: keine privaten Postadressen, keine privaten Telefonnummern, nichts aus privaten Social-Media-Konten, nichts hinter einem Login oder einer Bezahlschranke, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Schlüsse auf Ihr Privatleben, Ihre Gesundheit, Ihre Überzeugungen oder irgendetwas außerhalb Ihrer beruflichen Rolle. Jede belegte Angabe trägt die URL, aus der sie stammt, und das Datum, an dem sie gelesen wurde. Steht in einem Datensatz eine fachliche Einschätzung statt eines Zitats — dass eine Rolle plausibel über eine bestimmte Entscheidung verfügt, dass jemand sein Geschäft vermutlich auf Deutsch führt —, dann steht sie dort als Vermutung und ist als solche gekennzeichnet, nicht als Tatsache. Diese Kennzeichnung ist es, die eine Vermutung genauso korrigierbar macht wie eine Angabe.
Wer die Daten erhält
Diese Daten kauft und mietet niemand: Ich verkaufe keine Kontaktdaten und gebe sie nicht zu Werbezwecken oder für die Werbung anderer weiter. In der Kette steckt kein CRM, keine Sales-Automatisierung und keine Verteilerliste, und die Datensätze liegen als gewöhnliche Dateien und nicht in der Datenbank eines Anbieters. Bei Dienstleistern landen Daten dennoch, und zwar in diesen Kategorien: der oben beschriebene Hosting-Anbieter dieser Website; mein E-Mail-Anbieter, der jede gesendete und empfangene Nachricht zwangsläufig verarbeitet; das berufliche Netzwerk, über das eine erste Ansprache läuft, denn eine Nachricht dort offenbart der Plattform Ihren Namen und den Text dieser Nachricht, und die Plattform ist dabei eigenständig Verantwortliche und verarbeitet die Daten nach ihren eigenen Bedingungen und ihrer eigenen Datenschutzerklärung; und der KI-Dienst, mit dem ich recherchiere und Texte entwerfe, der nach meiner Weisung den Inhalt eines Kontaktdatensatzes verarbeitet — Name, Rolle, Arbeitgeber, beruflich veröffentlichte Äußerungen. Ein Teil dieser Anbieter sitzt außerhalb des EWR oder verarbeitet Daten dort. Für den Hosting-Anbieter hat diese Frage einen eigenen Abschnitt oben; die beiden auf der Seite der Ansprache haben zwei verschiedene Antworten, und wer beides in einen Satz zieht, macht eines davon falsch. Mein E-Mail-Anbieter sitzt in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert; diese Übermittlung stützt sich also auf den Angemessenheitsbeschluss der Kommission zu diesem Framework, Durchführungsbeschluss (EU) 2023/1795, und braucht keine weitere Garantie. Beim KI-Dienst ist die Grundlage eine andere: Er wird auf kommerzieller Vertragsgrundlage genutzt, in die ein Auftragsverarbeitungs-Zusatz einbezogen ist, und dieser Zusatz trägt die Übermittlung über die EU-Standardvertragsklauseln, Durchführungsbeschluss (EU) 2021/914. Beim einen ein Angemessenheitsbeschluss, beim anderen vertragliche Garantien. Dieselbe Vertragsgrundlage nimmt die übermittelten Inhalte vom Modelltraining aus — das ist vermutlich der Satz, der eine Person in einem Kontaktdatensatz am meisten interessiert: eine vertragliche Ausnahme, keine Beruhigung. Beide Einordnungen stammen aus den veröffentlichten Bedingungen der Anbieter selbst, gelesen am 21. August 2026; und weil eine Zertifizierung je Unternehmen gilt und auslaufen kann, ändert sich mit ihr auch dieser Absatz. Diese Erklärung legt Empfängerkategorien offen und keine Anbieternamen — genannt wird hier deshalb das Instrument und nicht die Firma. Darüber hinaus gehen Daten nur dort an Dritte, wo ich zur Offenlegung rechtlich verpflichtet bin.
Speicherdauer
Kontaktdaten bewahre ich auf, solange ein konkretes geschäftliches Interesse an dem Kontakt besteht, und lösche sie drei Monate nach dem letzten Kontakt — der letzten Nachricht von mir oder der letzten Antwort von Ihnen. Die Frist ist knapp und nicht großzügig, und der Grund ist der Zuschnitt der Ansprache selbst: höchstens drei Nachrichten über etwa drei Wochen, und Schweigen am Ende dieser Folge behandle ich als Absage, es folgt also keine zweite Ansprache. Das ist mein eigener Maßstab und keine Vorgabe des Gesetzes, und weil danach nichts mehr folgt, hätte ein länger gehaltener Datensatz keinen Zweck mehr — und bei der Speicherbegrenzung nach Art. 5 Abs. 1 lit. e DSGVO ist „kein Zweck“ die ganze Antwort. Bei Server-Logdaten liegt der Fall anders, denn ich halte sie nie selbst: Der Hosting-Anbieter speichert sie so lange, wie er sie braucht, um die Website auszuliefern und gegen Angriffe zu verteidigen, und nicht über diesen Zweck hinaus; ich führe keine Kopie und habe keinen Zugang zu einem Log-Archiv. Seine Dokumentation nennt eine Speicherdauer für Function-Logs, aber keine für die Zugriffs-Logs, die ein gewöhnlicher Seitenaufruf erzeugt, und seine Datenschutzerklärung verpflichtet sich nur darauf, die Dauer nach Menge, Art und Sensibilität der Daten zu bestimmen (beides gelesen am 21. August 2026). Für die Logs kann ich Ihnen deshalb redlich die Kriterien nennen und keine Dauer — Auslieferung und Sicherheit dieser Website, mehr nicht —, und genau diese Alternative sieht Art. 13 Abs. 2 lit. a DSGVO für den Fall vor, dass eine Dauer nicht angegeben werden kann. Sobald der Anbieter eine Dauer veröffentlicht oder mir auf Anfrage eine nennt, steht sie hier an ihrer Stelle. Widersprechen Sie, bleibt eine Sache bewusst erhalten: ein minimaler Sperrvermerk, gerade so viel, um Sie wiederzuerkennen und nicht erneut zu schreiben. Der Datensatz geht, dieser eine Vermerk bleibt — und es ist der Vermerk und nicht der Datensatz, der Sie schützt; er bleibt so lange gespeichert, wie dieser Zweck besteht.
Ihre Rechte
Sie haben das Recht auf Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und, soweit die Voraussetzungen vorliegen, auf Datenübertragbarkeit (Art. 20). Das Widerspruchsrecht hat unten einen eigenen Abschnitt, weil es hier das Wichtigste ist. Für all das genügt eine E-Mail an contact@martinhuebner.me. Es gibt kein Formular, kein Konto und keine Kosten, und ich verlange keinen weiteren Nachweis, als dass Sie die Person sind, um deren Daten es geht.
Ihr Widerspruchsrecht
Nach Art. 21 Abs. 2 DSGVO können Sie der Verarbeitung Ihrer Daten für Direktwerbung jederzeit widersprechen. Dieser Widerspruch braucht keine Begründung, und sobald Sie ihn erklären, endet die Verarbeitung für diesen Zweck. Eine Zeile Antwort genügt — „kein Interesse“, „bitte nicht mehr schreiben“ — in beliebiger Form und Formulierung; ein formeller Antrag ist nicht nötig. Ich beachte das sofort, dauerhaft und über alle Kanäle, nicht nur über den, auf dem Sie geantwortet haben; und es folgt keine Nachricht, die Sie um ein Umdenken bittet. Unabhängig von Direktwerbung können Sie der Verarbeitung auf Grundlage berechtigter Interessen nach Art. 21 Abs. 1 DSGVO aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben.
Beschwerde bei einer Aufsichtsbehörde
Nach Art. 77 DSGVO können Sie sich bei einer Datenschutz-Aufsichtsbehörde über den Umgang mit Ihren Daten beschweren, und Sie müssen sich dafür nicht zuerst an mich wenden. Die für mich zuständige Aufsichtsbehörde ist Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg, Telefon (040) 428 54-4040, mailbox@datenschutz.hamburg.de. Die Behörde bittet darum, Beschwerden und Hinweise über ihr eigenes Formular einzureichen und nicht per E-Mail; das Formular liegt unter dem Pfad /service-information/beschwerde-oder-hinweis-einreichen auf datenschutz-hamburg.de (gelesen am 21. August 2026) — gut zu wissen, bevor Sie schreiben; das erspart Ihnen den Umweg. Hamburg zu nennen ist eine Erleichterung für Sie und keine Einschränkung: Art. 77 DSGVO stellt Ihnen die Aufsichtsbehörde Ihres Wohnsitzes, die Ihres Arbeitsplatzes und die des Orts des mutmaßlichen Verstoßes offen, und jede der drei kann Ihre Beschwerde annehmen.
Kontakt
Für alles in dieser Erklärung — Auskunft, Berichtigung, Löschung, Widerspruch oder die Frage, woher eine einzelne Angabe stammt — schreiben Sie an contact@martinhuebner.me. Eine Adresse, ein Mensch, für alles derselbe Weg.