Datenschutzerklärung

Für unsere Kampagnenseiten unter fundedby.co/lp/ Stand: 21. September 2026

1. Verantwortlicher

Stonebode Labs UG (haftungsbeschränkt) Brühl 9a, 04109 Leipzig, Deutschland Geschäftsführer: Dmytro Shapovalov E-Mail: [email protected]

FundedBy ist ein Dienst der Stonebode Labs UG (haftungsbeschränkt) („wir", „uns").

Wir haben keinen Datenschutzbeauftragten bestellt und sind dazu nach Art. 37 DSGVO und § 38 BDSG auch nicht verpflichtet. In allen Datenschutzfragen erreichen Sie uns unter der oben genannten Adresse.

2. Wofür diese Erklärung gilt

Diese Erklärung gilt für die Kampagnenseiten, die wir unter fundedby.co/lp/ veröffentlichen: die Seite selbst, das Formular „Förder-Check" und die Bestätigungsseite danach.

Sie gilt nicht für die FundedBy-Plattform. Wenn Sie dort ein Konto anlegen, gilt unsere allgemeine Datenschutzerklärung unter fundedby.co/privacy. Diese Seiten hier verlangen kein Konto, und für ihren Besuch brauchen Sie keines.

Auf diesen Seiten gibt es drei Verarbeitungen: das Ausliefern der Seite, Ihre Angaben im Formular, und die Messung unserer Werbung und der Seitennutzung. Abschnitt 4 beschreibt sie einzeln.

3. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, einer Verarbeitung auf Grundlage unserer berechtigten Interessen zu widersprechen (Art. 21). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Wie Sie diese Rechte ausüben. Schreiben Sie an [email protected]. Wir antworten und bestätigen eine Löschung schriftlich.

Sie können sich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist:

Der Sächsische Datenschutzbeauftragte Devrientstraße 5, 01067 Dresden, Deutschland saechsdsb.de

Sie können sich auch an die Behörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

4. Was wir auf diesen Seiten verarbeiten

4.1 Aufruf der Seite

Beim Aufruf werden technische Daten automatisch verarbeitet: IP-Adresse, Datum und Uhrzeit der Anfrage, die angeforderte Ressource, die übertragene Datenmenge, der HTTP-Status, die verweisende URL, Browser und Betriebssystem.

• Zweck: Auslieferung der Seite, Sicherheit, Abwehr von Angriffen und Missbrauch, Fehlersuche.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am sicheren und zuverlässigen Betrieb.
• Löschfrist: 14 Tage, danach wird die Telemetrie automatisch gelöscht.
• Infrastruktur: Die Seite läuft bei DigitalOcean in der Region Frankfurt (fra1). Der Datenverkehr wird über Cloudflare geleitet, das die TLS-Verschlüsselung terminiert und automatisierte Angriffe filtert. Protokolle liegen in Grafana Cloud auf einem EU-Stack.

4.2 Angaben im Formular „Förder-Check"

Das Formular ist der einzige Ort auf diesen Seiten, an dem Sie uns Daten senden. Sie füllen es aus, wenn Sie es möchten; für das Lesen der Seite ist es nicht nötig.

Was das Formular fragt. Was Sie planen, die Postleitzahl des Projektstandorts, die Größe Ihres Unternehmens, das ungefähre Projektbudget, den geplanten Projektstart und Ihre E-Mail-Adresse. Name, Unternehmen und Telefonnummer sind freiwillig. Sie können ein Feld ankreuzen, um Interesse an der Unterstützung durch eine unabhängige Beraterin oder einen unabhängigen Berater zu bekunden. Bevor das Formular gesendet werden kann, müssen Sie bestätigen, dass Sie diese Erklärung gelesen haben.

Was zusätzlich erfasst wird. Der Zeitpunkt der Absendung, von welcher Kampagnenseite die Anfrage stammt, ob unsere eigenen Regeln die Anfrage als eine einstufen, bei der wir helfen können, die Kampagnenparameter des Links, dem Sie gefolgt sind (utm_*), die in Abschnitt 4.3 beschriebene Werbe-Klick-Kennung sowie die Adresse der Seite, die Sie zu uns verwiesen hat.

Ihre IP-Adresse wird während der Bearbeitung verwendet, um zu begrenzen, wie viele Absendungen eine Verbindung in zehn Minuten vornehmen kann. Sie wird dafür nur im Arbeitsspeicher gehalten und nirgends gespeichert.

Wo die Angaben gespeichert werden. Jede Anfrage ist eine Zeile in einer Tabelle, die wir bei Google Sheets betreiben, in einem Reiter, der zu dieser Kampagne gehört. Diese Tabelle ist die Arbeitsliste, aus der wir antworten; der Zugriff darauf ist auf die Personen beschränkt, die Anfragen beantworten. Eine Absendung, die unsere Spam-Prüfungen zurückweisen, wird mit einem Vermerk darüber, warum, in denselben Reiter geschrieben, damit eine zu Unrecht aussortierte echte Anfrage nicht unbemerkt verloren geht.

• Zweck: Beantwortung Ihrer Anfrage — die Förderprogramme heraussuchen, die zu Ihrer Beschreibung passen könnten, und Ihnen per E-Mail antworten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie bitten uns um eine Leistung, bevor ein Vertrag besteht, und Ihre Angaben sind das, was wir dafür benötigen. Kreuzen Sie das Beraterfeld an, beruht die Weitergabe Ihrer Angaben an eine unabhängige Beraterin oder einen unabhängigen Berater auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie jederzeit widerrufen können.
• Löschfrist: 24 Monate ab dem Tag der Absendung, damit eine Anfrage und eine spätere Rückmeldung zusammengeführt werden können. Danach wird die Zeile gelöscht.
• Ihre Angaben werden nicht veröffentlicht. Sie erscheinen nirgends auf unseren Seiten und sind nicht Teil eines Profils. Wir geben Ihre Angaben nicht ohne Ihre ausdrückliche Zustimmung an Dritte weiter.

4.3 Werbemessung

Für diese Seiten schalten wir Werbung. Wenn Sie über eine unserer Anzeigen kommen, trägt der Link eine Werbe-Klick-Kennung — gclid, gbraid oder wbraid, je nach Art des Klicks. Sie kennzeichnet den Klick, nicht Sie.

Was damit geschieht. Die Kennung wird aus der Adresse der aufgerufenen Seite gelesen und in der Adresse der Formularseite als verstecktes Feld weitergetragen. Auf Ihrem Endgerät wird nichts gespeichert. Es gibt kein Werbe-Tag auf der Seite, kein Cookie, kein localStorage und kein sessionStorage, und Ihr Browser stellt während des Lesens der Seite keine Anfrage an ein Werbenetzwerk.

Was zu Google gelangt. Wenn Sie das Formular absenden, es unsere Prüfungen besteht und Ihr Besuch eine dieser Kennungen trug, wird eine zweite Zeile in einen gesonderten Reiter derselben Tabelle geschrieben: die Klick-Kennung, die Bezeichnung, die wir dieser Art von Conversion geben, der Zeitpunkt der Absendung, ein Wert und eine Währung. Google Ads importiert diesen Reiter in festgelegten Abständen; das ist es, was Google erlaubt, die Anfrage der geklickten Anzeige zuzuordnen. Diese Zeile enthält keinen Namen, keine E-Mail-Adresse und keine Ihrer Angaben.

• Zweck: messen, welche Anzeigen Anfragen bringen, bei denen wir helfen können, damit wir für die übrigen nicht weiter bezahlen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, zu wissen, ob unsere eigene Werbung wirkt. Weil auf Ihrem Endgerät nichts gespeichert und nichts von dort ausgelesen wird, ist § 25 TDDDG nicht einschlägig und es ist keine Einwilligung erforderlich.
• Löschfrist: 14 Monate in unserer Tabelle; das deckt das von Google Ads verwendete Zuordnungsfenster zuzüglich eines Zuschlags ab. Nach dem Import gilt für den Datensatz im Werbekonto die Speicherdauer von Google.
• Ihr Widerspruchsrecht: Sie können der Verarbeitung jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen — schreiben Sie an [email protected].

Die Rolle von Google ist hier eine andere als bei der Tabelle selbst. Nach dem Import verwendet Google den Conversion-Datensatz auch für eigene Zwecke beim Betrieb und der Verbesserung des eigenen Werbesystems. Insoweit ist Google eigener Verantwortlicher, und für diese Verarbeitung gilt die Datenschutzerklärung von Google.

4.4 Reichweitenmessung

Wir messen, wie diese Seiten genutzt werden, damit wir erkennen können, welche Kampagne funktioniert. Wir setzen dafür PostHog ein (EU-Region, Frankfurt).

Sie werden dabei nicht identifiziert. PostHog läuft in einer cookiefreien Konfiguration. Kein Cookie, kein localStorage, kein sessionStorage. Statt Ihren Browser wiederzuerkennen, bildet PostHog auf den eigenen Servern eine Kennung, indem es Ihre IP-Adresse, die Kennung Ihres Browsers, unser Projekt und einen täglich wechselnden Zufallswert zu einem Hash verrechnet. Weil dieser Wert um Mitternacht wechselt, zählt eine Besucherin, die am nächsten Tag wiederkommt, als neue Person. Wir können den Hash nicht umkehren und ihn keiner Person zuordnen.

• Was erhoben wird: welche Seiten der Kampagne Sie aufrufen und wie Sie sie nutzen — welche Schaltflächen Sie anklicken und wie weit Sie im Formular kommen. Dazu die Kampagnenparameter des Links, dem Sie gefolgt sind (utm_*), sowie Browsertyp, Gerätetyp und ungefähres Land, die PostHog aus der Anfrage ableitet.
• Was nicht erhoben wird: was Sie in das Formular eintippen. Ihre Angaben aus Abschnitt 4.2 werden nicht an PostHog gesendet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, zu verstehen, ob unsere Kampagne funktioniert. Weil auf Ihrem Endgerät nichts gespeichert und nichts von dort ausgelesen wird, ist § 25 TDDDG nicht einschlägig und es ist keine Einwilligung erforderlich.
• Löschfrist: 12 Monate, danach löscht PostHog die Ereignisse.
• Ihr Widerspruchsrecht: Für jeden Browser, der ein Do-Not-Track-Signal sendet, ist die Messung automatisch deaktiviert. Sie können der Verarbeitung außerdem jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen.

5. Cookies und Speicherung auf Ihrem Endgerät

Auf diesen Seiten wird nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen. Kein Cookie, kein localStorage, kein sessionStorage — weder durch unseren eigenen Code noch durch die Reichweitenmessung noch durch die Werbemessung. Schriften werden von unseren eigenen Servern ausgeliefert, Ihr Browser stellt also keine Anfrage an Schriftdienste Dritter.

Weil nichts gespeichert und nichts ausgelesen wird, greift § 25 TDDDG nicht, und es gibt auf diesen Seiten kein Einwilligungsbanner. Sollten wir etwas einführen, das einer Einwilligung bedarf, wird ein Banner mit einer gleichwertig sichtbaren Ablehnungsmöglichkeit vorhanden sein, bevor es aktiviert wird.

Die Werbe-Klick-Kennung aus Abschnitt 4.3 wird ausschließlich in der Adresse der Seite mitgeführt. Sie verlässt Ihren Browser nicht, wenn Sie das Formular nicht absenden.

6. Empfänger

Behörden erhalten Daten nur, soweit wir zur Offenlegung gesetzlich verpflichtet sind. Wir verkaufen keine personenbezogenen Daten. Der Conversion-Datensatz aus Abschnitt 4.3 ist das Einzige, was wir an ein Werbenetzwerk weitergeben, und er enthält weder einen Namen noch eine E-Mail-Adresse noch Ihre Angaben.

Jeder dieser Anbieter ist für uns Auftragsverarbeiter auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Google Ireland Limited ist für die Tabelle unser Auftragsverarbeiter auf Grundlage des Google Workspace Data Processing Addendum. Der Conversion-Import nach Abschnitt 4.3 ist die eine Ausnahme: Dort ist Google für die eigene Weiterverwendung eigener Verantwortlicher.

7. Übermittlung in Drittländer

DigitalOcean verarbeitet die Daten aus Abschnitt 4.1 in der Region Frankfurt. Grafana Labs hält unsere Protokolle auf einem EU-Stack. PostHog verarbeitet die Ereignisse aus Abschnitt 4.4 in der EU-Region (Frankfurt). In allen drei Fällen bleiben die Daten in der EU, während der Anbieter als US-Unternehmen grundsätzlich Zugriffsersuchen US-amerikanischer Behörden unterliegen kann. Cloudflare betreibt ein globales Edge-Netzwerk, sodass Verbindungsdaten auch außerhalb der EU verarbeitet werden können.

Google ist unser Vertragspartner als Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google LLC in den USA kann im Rahmen der Bereitstellung und des Supports auf den Inhalt der Tabelle zugreifen. Die Conversion-Datensätze aus Abschnitt 4.3 werden nach Google Ads importiert und in den USA verarbeitet.

Die herangezogenen Garantien sind:

• Google LLC ist unter dem EU-U.S. Data Privacy Framework selbstzertifiziert. Übermittlungen an einen zertifizierten Empfänger sind vom Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 gedeckt (Art. 45 DSGVO).
• Ergänzend enthalten die Verträge zur Auftragsverarbeitung mit DigitalOcean, Cloudflare, Grafana Labs, PostHog und Google die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Den aktuellen Zertifizierungsstatus können Sie in der öffentlichen Liste des Data Privacy Framework unter dataprivacyframework.gov einsehen.

8. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungsfrist ihre Aufbewahrung verlangt. Im Einzelnen:

• technische Protokolle: 14 Tage,
• Ereignisse der Reichweitenmessung: 12 Monate,
• Werbe-Conversion-Datensätze in unserer Tabelle: 14 Monate,
• Anfragen aus dem Formular: 24 Monate,
• handels- und steuerrechtliche Unterlagen, sobald solche bestehen: sechs oder zehn Jahre (§ 257 HGB, § 147 AO),
• Daten, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind: für die Dauer der jeweiligen Verjährungsfrist, in der Regel drei Jahre (§ 195 BGB).

9. Ist die Bereitstellung von Daten erforderlich?

Nein. Sie können diese Seiten lesen, ohne uns etwas zu senden. Füllen Sie das Formular aus, sind die dort als Pflichtangaben gekennzeichneten Felder erforderlich, damit wir Ihre Anfrage beantworten können; ohne sie können wir nicht prüfen, welche Programme passen, und Ihnen nicht antworten. Die übrigen Felder sind freiwillig.

10. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich die Kampagnenseiten oder die Rechtslage ändern. Die aktuelle Fassung ist stets unter fundedby.co/datenschutz abrufbar.