Datenschutz­erklärung

Stand: Juni 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

frag.hugo Informationssicherheit GmbH
Spaldingstraße 64-68
20097 Hamburg
Deutschland

Telefon: 040 57308220-0
E-Mail: info@fraghugo.de
Web: www.fraghugo.de

Geschäftsführer: Nils Oehmichen

2. Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten bestellt:

datuno GmbH
Kiebitzhörn 15
22885 Barsbüttel

Telefon: +49 40 22 853 843-0
E-Mail: n.oehmichen@datuno.de

3. Übersicht der Verarbeitungen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung einer funktionierenden Website sowie unserer Inhalte und Leistungen erforderlich ist. Im Folgenden informieren wir Sie über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten.

Zusammenfassung der verarbeiteten Daten:

  • Zugriffsdaten / Server-Log-Dateien (IP-Adresse, Zeitstempel, aufgerufene Seiten)
  • Kontaktdaten (Name, E-Mail, Telefon – nur bei aktiver Kontaktaufnahme)
  • Nutzungsdaten (anonymisierte Seitenaufrufe über Matomo)
  • Nutzungsmuster (Sitzungsaufzeichnungen und Heatmaps über Microsoft Clarity – nur mit Ihrer ausdrücklichen Einwilligung)
  • Terminbuchungsdaten (über Brevo)
  • Chat-Eingaben an unseren KI-Assistenten „Hugo" (nur bei aktiver Nutzung und nach Ihrer Einwilligung)

Was wir bewusst nicht einsetzen:

  • Kein Google Analytics, kein Facebook Pixel, kein TikTok Pixel
  • Keine US-Tracking-Dienste ohne Ihre ausdrückliche Einwilligung (Microsoft Clarity wird ausschließlich nach Opt-in geladen)
  • Keine externen Schriftarten (alle Fonts werden lokal geladen)
  • Keine Content Delivery Networks (CDNs) von Drittanbietern
  • Keine Social-Media-Plugins mit Datenübertragung
  • Keine Google Maps, YouTube oder sonstige Embeds ohne Consent

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen der DSGVO:

  • Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Die betroffene Person hat ihre Einwilligung zur Verarbeitung für einen bestimmten Zweck gegeben.
  • Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist für die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich.
  • Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
  • Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen der betroffenen Person überwiegen.

5. Hosting & Datenverarbeitung

Website-Auslieferung (Cloudflare Pages)

Die statischen Inhalte dieser Website (Texte, Bilder, Stylesheets) werden über Cloudflare Pages der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ausgeliefert. Cloudflare betreibt ein globales Content Delivery Network (CDN) mit Rechenzentren weltweit, darunter zahlreiche Standorte in der EU.

Wenn Sie unsere Website besuchen, wird Ihre Anfrage über das nächstgelegene Cloudflare-Rechenzentrum ausgeliefert. Dabei verarbeitet Cloudflare als unser Auftragsverarbeiter Ihre IP-Adresse und weitere technische Daten, die für die Auslieferung der Website erforderlich sind. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Bereitstellung unserer Website).

Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert und hat sich zur Einhaltung der EU-Datenschutzstandards verpflichtet. Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art. 28 DSGVO geschlossen. Weitere Informationen finden Sie in der Datenschutzerklärung von Cloudflare.

Anwendungsserver & Kundendaten (Deutschland)

Sämtliche Anwendungsserver, Datenbanken und Kundendaten unserer Produkte (u. a. Hugo Check, Hugo DSB, Hugo Shield, Hugo ISMS, Hugo Safe und Hugo Learn) werden auf einem dedizierten Server in Deutschland betrieben — gehostet bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, einem deutschen Unternehmen mit ausschließlich deutschen Rechenzentren.

Das bedeutet: Ihre Kundendaten, Analyseergebnisse, Dokumente und Auditberichte verlassen zu keinem Zeitpunkt Deutschland. Es findet keine Datenübertragung an Server außerhalb der EU statt. Die Daten werden verschlüsselt gespeichert und sind strikt nach Mandanten getrennt.

Mit Hetzner haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. Hetzner ist nach ISO 27001 zertifiziert und betreibt eigene Rechenzentren mit physischen Zugangskontrollen, redundanter Stromversorgung und 24/7-Überwachung.

6. SSL/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten eine SSL- bzw. TLS-Verschlüsselung. Sie erkennen eine verschlüsselte Verbindung daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

7. Server-Log-Dateien

Cloudflare erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dies sind:

  • Browsertyp und Browserversion
  • Verwendetes Betriebssystem
  • Referrer URL
  • Hostname des zugreifenden Rechners
  • Uhrzeit der Serveranfrage
  • IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Sicherheit seiner Website.

Server-Log-Dateien werden nach spätestens 7 Tagen automatisch gelöscht, sofern keine längere Aufbewahrung zu Beweiszwecken (z. B. bei Angriffen auf die Server-Infrastruktur) erforderlich ist.

8. Kontaktaufnahme

Kontaktformular

Wenn Sie uns über unser Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Formular einschließlich der dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung der in das Kontaktformular eingegebenen Daten erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) bzw. auf Grundlage unseres berechtigten Interesses an der Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald der Zweck der Speicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihrer Anfrage). Zwingende gesetzliche Aufbewahrungsfristen bleiben unberührt.

Anfragen per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage, E-Mail-Adresse, Telefonnummer) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Die Daten werden gelöscht, sobald der Zweck der Speicherung entfällt.

9. Webanalyse mit Matomo

Wir nutzen auf dieser Website Matomo (ehemals Piwik), eine Open-Source-Software zur statistischen Auswertung der Besucherzugriffe.

Selbst gehostet, keine Datenübertragung an Dritte

Matomo wird auf unserer eigenen Server-Infrastruktur betrieben. Es findet keine Datenübertragung an Dritte oder an Server außerhalb der EU statt. Die erhobenen Daten verlassen zu keinem Zeitpunkt unsere Infrastruktur.

Cookieless Tracking

Wir setzen Matomo im cookielosen Modus ein. Das bedeutet: Es werden keine Cookies auf Ihrem Endgerät gesetzt. Die Wiedererkennung von Nutzern erfolgt nicht. Jeder Seitenaufruf wird als eigenständiger Besuch gewertet.

IP-Anonymisierung

Ihre IP-Adresse wird unmittelbar nach der Erhebung anonymisiert (mindestens die letzten zwei Bytes werden entfernt), bevor sie gespeichert wird. Ein Rückschluss auf einzelne Personen ist damit nicht möglich.

Verarbeitete Daten

  • Anonymisierte IP-Adresse
  • Aufgerufene Seiten und Zeitpunkt des Zugriffs
  • Browsertyp und Betriebssystem
  • Referrer (zuvor besuchte Seite)
  • Bildschirmauflösung
  • Verweildauer

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Analyse und Verbesserung unserer Website. Durch den cookielosen Modus und die IP-Anonymisierung ist der Eingriff in Ihre Rechte minimal.

Widerspruchsrecht (Opt-out)

Sie können der Erfassung durch Matomo jederzeit widersprechen. Nutzen Sie dazu die „Do Not Track"-Einstellung Ihres Browsers. Matomo respektiert diese Einstellung automatisch.

10. Microsoft Clarity (Sitzungsaufzeichnungen & Heatmaps)

Sofern Sie über unseren Cookie-Banner in die Kategorie „Statistik" einwilligen, setzen wir zusätzlich Microsoft Clarity der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA, ein. Clarity hilft uns zu verstehen, wie Besucher unsere Website nutzen (Klickpfade, Scroll-Verhalten, Bedienprobleme), damit wir Usability und Inhalte gezielt verbessern können.

Erhobene Daten

  • Anonymisierte Sitzungsaufzeichnungen (Mausbewegungen, Klicks, Scrolls)
  • Heatmaps (aggregierte Klick- und Scroll-Verteilung)
  • Geräte- und Browser-Informationen, gekürzte IP-Adresse, Referrer

Clarity maskiert Texteingaben und sensible Inhalte standardmäßig (z. B. Formularfelder, passwortgeschützte Bereiche). Wir erhalten keine Klartext-Eingaben aus Formularen.

Rechtsgrundlage

Die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird Clarity nicht geladen.

Drittland­übermittlung (USA)

Microsoft Clarity überträgt Daten in die USA. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert, wodurch ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO anerkannt ist. Zusätzlich bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Speicherdauer

Sitzungsaufzeichnungen werden bei Microsoft Clarity für maximal 13 Monate gespeichert und anschließend automatisch gelöscht.

Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Nutzen Sie dazu den Button „Cookie-Einstellungen" am unteren Seitenrand und deaktivieren Sie die Kategorie „Statistik". Weitere Informationen finden Sie in der Microsoft-Datenschutzerklärung.

11. Keine externen Schriftarten

Auf dieser Website werden alle Schriftarten lokal eingebunden. Es erfolgt kein Abruf von Google Fonts, Adobe Fonts oder anderen externen Schriftarten-Diensten. Beim Laden der Website werden daher keine Verbindungen zu Servern von Drittanbietern aufgebaut, und es wird keine IP-Adresse an diese übermittelt.

12. Content Delivery Network (Cloudflare)

Diese Website wird über das Content Delivery Network (CDN) von Cloudflare ausgeliefert (siehe Abschnitt 5 „Hosting"). Sämtliche Ressourcen (Skripte, Stylesheets, Schriftarten, Bilder) werden ausschließlich über Cloudflare bereitgestellt. Es werden keine weiteren CDNs von Drittanbietern wie AWS CloudFront, Google CDN oder ähnliche Dienste eingebunden.

13. Terminbuchung über Brevo

Für die Buchung von Erstgesprächen und Beratungsterminen nutzen wir den Dienst Brevo (ehemals Sendinblue), Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland.

Wenn Sie über unsere Website einen Termin buchen, werden folgende Daten an Brevo übermittelt und dort verarbeitet:

  • Name
  • E-Mail-Adresse
  • Gewünschter Termin
  • Ggf. Telefonnummer und weitere von Ihnen eingegebene Angaben

Brevo fungiert hierbei als Auftragsverarbeiter gemäß Art. 28 DSGVO. Wir haben mit Brevo einen Auftragsverarbeitungsvertrag geschlossen. Die Datenverarbeitung erfolgt auf Servern innerhalb der EU.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung bei der Terminbuchung).

Weitere Informationen finden Sie in der Datenschutzerklärung von Brevo.

14. KI-Chat-Assistent „Hugo" (OpenAI)

Auf unserer Website bieten wir einen optionalen Chat-Assistenten namens „Hugo" an, der Ihnen Fragen zu unseren Produkten und Leistungen beantwortet. Der Assistent wird nicht automatisch geladen und erst aktiv, wenn Sie das Chat-Fenster öffnen und der Übermittlung Ihrer Nachrichten an den eingesetzten KI-Dienst ausdrücklich zustimmen. Vor der ersten Übermittlung weisen wir Sie im Chat-Fenster gesondert auf die Verarbeitung durch OpenAI hin.

Verarbeitete Daten

  • Der von Ihnen eingegebene Nachrichtentext (Ihre Fragen an den Assistenten)
  • Sofern Sie diese aktiv angeben: Ihre E-Mail-Adresse und ggf. Ihr Name für eine Kontaktaufnahme

Wir empfehlen, in den Chat keine sensiblen personenbezogenen Daten (z. B. Gesundheits- oder Vertragsdaten) einzugeben. Auf diesen Umstand weisen wir Sie auch im Chat-Fenster hin.

Verarbeitung durch OpenAI & Drittland­übermittlung (USA)

Zur Erzeugung der Antworten wird Ihre Nachricht über eine von uns betriebene Server-Funktion (gehostet bei Hetzner in Deutschland) an den KI-Dienst OpenAI (OpenAI, L.L.C. bzw. OpenAI Ireland Ltd.) weitergeleitet und dort verarbeitet. Dabei kann eine Übermittlung in die USA stattfinden. Diese Übermittlung ist durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert; wir haben mit OpenAI einen Auftragsverarbeitungs­vertrag (Data Processing Addendum) gemäß Art. 28 DSGVO geschlossen. Über die API übermittelte Inhalte werden von OpenAI nicht zum Training der KI-Modelle verwendet.

Lead-Erfassung

Wenn Sie im Chat von sich aus eine E-Mail-Adresse hinterlassen (z. B. um Unterlagen oder ein Erstgespräch zu erhalten), speichern wir diese Angaben zur Bearbeitung Ihres Anliegens auf unserer Datenbank-Infrastruktur (gehostet bei Hetzner in Deutschland) und ggf. in unserem CRM-System (Brevo, Server in der EU). Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen und zur Kontaktaufnahme.

Rechtsgrundlage

Die Verarbeitung der Chat-Eingaben erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Geben Sie Kontaktdaten für eine Anfrage an, stützt sich die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Ohne Ihre Zustimmung werden keine Daten an OpenAI übermittelt.

Speicherdauer & Widerruf

Chat-Verläufe werden nur so lange gespeichert, wie es zur Beantwortung und zur Nachvollziehbarkeit erforderlich ist, und anschließend gelöscht. Kontaktdaten aus einer Anfrage werden gelöscht, sobald deren Zweck entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Chat nicht weiter nutzen. Weitere Informationen finden Sie in der Datenschutzerklärung von OpenAI.

15. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu. Zur Wahrnehmung Ihrer Rechte genügt eine formlose Mitteilung an info@fraghugo.de.

Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen. Dies umfasst insbesondere Angaben zu den Verarbeitungszwecken, den Kategorien personenbezogener Daten, den Empfängern, der geplanten Speicherdauer sowie der Herkunft der Daten.

Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, unverzüglich die Berichtigung unrichtiger oder die Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen.

Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird, die Verarbeitung unrechtmäßig ist, wir die Daten nicht mehr benötigen, Sie diese jedoch zur Geltendmachung von Rechtsansprüchen benötigen, oder Sie Widerspruch gegen die Verarbeitung eingelegt haben.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt, Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Sie haben das Recht, eine einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

16. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen.

Die für uns zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)
Ludwig-Erhard-Str. 22, 7. OG
20459 Hamburg

Telefon: 040 / 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de
Web: datenschutz-hamburg.de

17. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Juni 2026.

Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung kann jederzeit auf dieser Seite abgerufen werden.