Datenschutzerklärung

Dies ist die Datenschutzerklärung für matteospinelli.com — eine persönliche Portfolio-Website. Sie erläutert in verständlicher Sprache, welche personenbezogenen Daten die Website verarbeitet, warum, auf welcher Rechtsgrundlage, wer bei der Verarbeitung mithilft und welche Rechte Sie haben. Ich habe versucht, sie ehrlich und konkret statt allgemein zu halten: Die Website erhebt sehr wenig, speichert selbst fast nichts und verwendet keine Tracking-Cookies.

Wer wir sind

Verantwortlicher für diese Website ist Matteo Spinelli mit Sitz in Bonn, Deutschland. Bei Fragen zu dieser Erklärung oder zu Ihren personenbezogenen Daten schreiben Sie an me@matteospinelli.com. Es gibt keinen gesonderten Datenschutzbeauftragten; ich kümmere mich persönlich um Datenschutzangelegenheiten.

Welche Daten wir erheben und warum

Die Website hat vier Bereiche, die personenbezogene Daten betreffen können: Webanalyse, das Kontaktformular, den Chatbot und das Buchungsformular. Beachten Sie, dass das Buchungsformular derzeit auf der Live-Website nicht aktiviert ist — der Code existiert, aber die Benutzeroberfläche ist ausgeblendet —, sodass im Normalbetrieb nur die Webanalyse, das Kontaktformular und der Chatbot aktiv sind. Die Buchung wird hier der Vollständigkeit halber dokumentiert.

1. Webanalyse

• Was wir erheben: Seitenpfad/-titel, Referrer, Browser-/Betriebssystem-/Gerätetyp, Bildschirmgröße und Sprache sowie ein ungefähres Land, das auf dem Server aus Ihrer IP-Adresse abgeleitet wird — danach wird die rohe IP-Adresse verworfen und niemals gespeichert. Besuche werden mit einem täglich wechselnden Hash gruppiert, nicht mit einem Cookie, sodass es keine Kennung gibt, die Ihnen über Tage oder Websites hinweg folgt.
• Zweck: um in aggregierter Form zu verstehen, welche Seiten besucht werden und wie die Website abschneidet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Die Analyse erfolgt cookielos und schreibt nichts auf Ihr Gerät, sodass kein Einwilligungsbanner erforderlich ist; das Skript respektiert außerdem das 'Do Not Track'-Signal Ihres Browsers.
• Auftragsverarbeiter: eine von mir betriebene, selbst gehostete Umami-Instanz (umami.phalanthus.com). Dabei handelt es sich um eigene Infrastruktur unter meiner Kontrolle — nicht um einen Drittanbieterdienst wie Google Analytics, und es ist keine Adtech oder websiteübergreifendes Tracking beteiligt.
• Speicherdauer: nur aggregierte Kennzahlen, die in der selbst gehosteten Umami-Datenbank so lange aufbewahrt werden, wie sie nützlich bleiben. Keine rohe IP-Adresse, kein websiteübergreifendes Profil, keine personenbezogene Kennung.

2. Kontaktformular

• Was wir erheben: Ihren Namen, Ihre E-Mail-Adresse, die von Ihnen angekreuzten Interessensgebiete (KI, Strategie oder Green), Ihre Nachricht und die Sprache der Benutzeroberfläche. Ihre IP-Adresse wird nur ausgelesen, um eine Ratenbegrenzung anzuwenden, und ist nicht in der E-Mail enthalten. Ein verstecktes Anti-Spam-Feld (honeypot) wird sofort verworfen.
• Zweck: um Ihnen zu ermöglichen, mir eine Nachricht zu senden. Der Server stellt sie als E-Mail dar und sendet sie ausschließlich an mein eigenes Postfach, mit Ihrem Namen und Ihrer E-Mail-Adresse im 'reply-to', sodass ich antworten kann. Ihre Nachricht wird an keine von Ihnen angegebene Adresse gesendet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage vor Vertragsschluss) und/oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).
• Auftragsverarbeiter: Resend (ein Dienst für Transaktions-E-Mails) stellt die Nachricht zu; mein Postfachanbieter empfängt und speichert sie anschließend. In der lokalen Entwicklung werden E-Mails in ein Konsolenprotokoll ausgegeben, und kein Dritter ist beteiligt.
• Speicherdauer: Die Website selbst speichert nichts — es erfolgt kein Datenbankschreibvorgang. Ihre Nachricht verbleibt in meinem Postfach, bis ich sie lösche, sowie in den Zustellprotokollen von Resend gemäß der Speicherdauer von Resend. Der einzige kurzlebige technische Eintrag ist ein Zähler zur Ratenbegrenzung, der innerhalb von 120 Sekunden automatisch abläuft.

3. Buchung (derzeit auf der Live-Website deaktiviert)

• Was wir erheben: Ihren Namen, Ihre E-Mail-Adresse, optional das Unternehmen, optionale Anmerkungen, das von Ihnen gewählte Zeitfenster, Ihre Zeitzone und die Sprache der Benutzeroberfläche. Ihre IP-Adresse wird nur zur Ratenbegrenzung verwendet; das versteckte Anti-Spam-Feld wird verworfen.
• Zweck: um Ihnen zu ermöglichen, ein Gespräch zu buchen. Die Anfrage wird an Cal.com weitergeleitet, das die Buchung erstellt, sie in meinen verbundenen Kalender einträgt und eine eigene Bestätigungs-E-Mail versendet. Beim Abrufen verfügbarer Zeitfenster werden keine personenbezogenen Daten verarbeitet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und/oder Art. 6 Abs. 1 lit. f DSGVO.
• Auftragsverarbeiter: Cal.com (Terminplanung) und der mit meinem Cal.com-Konto verbundene Kalender.
• Speicherdauer: Die Website speichert nichts. Der Buchungsdatensatz wird von Cal.com und in meinem Kalender gemäß deren Speicherdauer aufbewahrt. Lediglich der 120-Sekunden-Zähler zur Ratenbegrenzung ist ein vorübergehender Zustand.

4. Chatbot

• Was wir erheben: die von Ihnen eingegebenen Nachrichten und einen Sprachhinweis. Was auch immer Sie in diese Nachrichten schreiben, wird verarbeitet — bitte fügen Sie keine sensiblen personenbezogenen Daten ein. Ihre IP-Adresse wird nur zur Ratenbegrenzung verwendet und nicht an den Anbieter des Sprachmodells gesendet.
• Zweck: ein kleiner Assistent, der Fragen zu meinem Lebenslauf und Werdegang beantwortet. Der Server kombiniert Ihre Nachrichten mit einer festen, statischen Kopie meines Lebenslaufs und fordert von einem Sprachmodell eine Antwort an, die Ihnen als Stream zurückgesendet wird. Es gibt keine externen Abfragen oder agentischen Tools.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Fragen zu meinem Werdegang).
• Auftragsverarbeiter: Scaleway Generative APIs (serverlose LLM-Inferenz). Scaleway hat seinen Sitz in der EU (Frankreich), sodass diese Verarbeitung die EU nicht verlässt.
• Speicherdauer: Gespräche werden nicht gespeichert — es gibt nirgends eine Datenbank oder ein Protokoll Ihrer Nachrichteninhalte. Das Einzige, was pro Interaktion erfasst wird, ist ein kleiner, aggregierter, nicht personenbezogener Telemetrie-Datenpunkt (Aufrufstatus, Sprachhinweis, Modellname, Token-Anzahl und geschätzte Kosten), der zur Überwachung von Nutzung und Kosten dient. Er enthält keine Nachrichteninhalte und keine personenbezogenen Daten.

Cookies

Diese Website verwendet keine Cookies — weder zum Tracking noch für Werbung oder Analyse, und es gibt kein Cookie-Einwilligungsbanner, da es nach den ePrivacy-/Cookie-Vorschriften nichts gibt, dem zugestimmt werden müsste. Die Analyse (Umami) erfolgt cookielos, schreibt nichts auf Ihr Gerät, identifiziert Besuche nur über einen täglich wechselnden serverseitigen Hash und respektiert 'Do Not Track'. Der einzige Browser-Speicher, den die Website nutzt, ist ein einzelnes localStorage-Flag, das eine kurze (60-sekündige) Abklingzeit für das Kontaktformular durchsetzt, um Spam abzuwehren — zwingend erforderlich für diese Anti-Spam-Funktion, enthält keine personenbezogenen Daten und wird für kein Tracking verwendet.

Drittanbieter-Auftragsverarbeiter und internationale Datenübermittlungen

Ich greife auf eine kleine Zahl von Dienstleistern zurück, um die Website zu betreiben. Einige haben ihren Sitz in den Vereinigten Staaten; das lege ich hier offen. Soweit personenbezogene Daten die EU/den EWR an einen US-Anbieter verlassen, ist diese Übermittlung durch geeignete Garantien gemäß Kapitel V DSGVO abgesichert — in der Praxis durch Standardvertragsklauseln (Art. 46) und die eigenen Datenverarbeitungsbedingungen der Anbieter.

Mein Postfachanbieter (bei dem meine E-Mails gehostet werden) speichert ebenfalls die Nachrichten des Kontaktformulars, sobald sie zugestellt wurden. Es werden keine Werbenetzwerke, Datenhändler oder websiteübergreifenden Tracker verwendet.

Speicherdauer der Daten

Die Anwendung selbst betreibt keine Datenbank und speichert Ihre Inhalte nicht dauerhaft. Zusammengefasst:

• Kontaktnachrichten: werden in meinem Postfach aufbewahrt, bis ich sie lösche, sowie in den Zustellprotokollen von Resend gemäß der Speicherdauer von Resend.
• Buchungen (deaktiviert): werden von Cal.com und in meinem verbundenen Kalender gemäß deren Speicherdauer aufbewahrt.
• Chatbot-Gespräche: werden überhaupt nicht gespeichert; es wird nur aggregierte, nicht personenbezogene Nutzungstelemetrie erfasst.
• Analyse: nur aggregierte Kennzahlen, in der selbst gehosteten Umami-Datenbank.
• Datensätze zur Ratenbegrenzung: Ihre IP-Adresse wird sehr kurz aufbewahrt (ein Zähler, der innerhalb von 120 Sekunden automatisch abläuft), um Missbrauch zu verhindern, und anschließend verworfen.

Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

• Auskunft über die personenbezogenen Daten, die ich über Sie gespeichert habe (Art. 15);
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16);
• Löschung — mich auffordern, Ihre Daten zu löschen (Art. 17);
• Einschränkung der Verarbeitung unter bestimmten Umständen (Art. 18);
• Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21);
• Datenübertragbarkeit — Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten (Art. 20);
• Widerruf der Einwilligung jederzeit, soweit die Verarbeitung auf einer Einwilligung beruht (was hier in der Regel nicht der Fall ist).

Um eines dieser Rechte auszuüben, schreiben Sie einfach eine E-Mail an me@matteospinelli.com. Ich werde innerhalb der von der DSGVO vorgeschriebenen Fristen antworten. Da ich so wenig speichere, ist der schnellste Weg oft schlicht, mich zu bitten, die von Ihnen gesendete E-Mail zu löschen.

Sie haben außerdem das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzureichen. Da der Verantwortliche seinen Sitz in Bonn hat, ist die zuständige deutsche Behörde die für Nordrhein-Westfalen (Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, LDI NRW). Sie können sich auch bei der Behörde Ihres Wohnorts beschweren — zum Beispiel bei der italienischen Garante per la protezione dei dati personali.

Sicherheit

• Verschlüsselung bei der Übertragung über HTTPS, mit HTTP Strict Transport Security (HSTS).
• Gehärtete Antwort-Header: X-Frame-Options DENY, X-Content-Type-Options nosniff, eine strenge Referrer-Policy, eine restriktive Permissions-Policy (Kamera, Mikrofon, Standortbestimmung und Browsing-Topics deaktiviert) sowie Cross-Origin-Opener-Policy same-origin. Eine Content-Security-Policy ist vorhanden (derzeit nur im Report-Only-Modus und wird auf vollständige Durchsetzung umgestellt).
• Strenge serverseitige Validierung jedes Formularfelds, mit Längenbeschränkungen, Schutz vor Header-Injection und HTML-Escaping von allem, was in einer E-Mail landet.
• Missbrauchsschutz: IP-bezogene Ratenbegrenzung auf allen API-Routen, versteckte Anti-Spam-Felder und eine Origin-Zulassungsliste (CORS), die API-Aufrufe auf die eigenen Domains dieser Website beschränkt.
• Minimaler Fußabdruck: keine Anwendungsdatenbank, sodass es keinen großen Bestand personenbezogener Daten gibt, der kompromittiert werden könnte.

Kein System kann als vollkommen sicher garantiert werden, aber das Designziel ist hier, von vornherein so wenig wie möglich zu erheben und aufzubewahren.

Änderungen dieser Erklärung

Ich kann diese Erklärung von Zeit zu Zeit aktualisieren — zum Beispiel, wenn ich die Buchungs- oder Chatbot-Funktionen aktiviere oder einen Dienstleister wechsle. In diesem Fall werde ich das Datum unter 'Zuletzt aktualisiert' anpassen. Wesentliche Änderungen werden auf dieser Seite kenntlich gemacht.