Datenschutzhinweise | Vergani Studios

Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO ist:
Allinone Trade GmbH
Bergiusstraße 21
12057 Berlin
Deutschland
vertreten durch den Geschäftsführer Fatih Yazici

Vergani Studios ist eine Marke der Allinone Trade GmbH.

Kontakt für Datenschutzanfragen: info@vergani-studios.de
Telefon: 030 98 56 50 46.

Für Datenschutzanfragen nutzen Sie bitte die oben genannte Kontaktadresse.

Hosting, Auslieferung und Sicherheitsprotokolle

Die Website und ihre Serverfunktionen werden über Vercel Inc., USA, bereitgestellt. Bei einem Aufruf verarbeitet Vercel technisch notwendige Verbindungs- und Protokolldaten. Dazu können IP-Adresse, daraus abgeleitete Stadt oder Land, Zeitpunkt, angeforderte URL, Referrer, Browser- und Geräteangaben, Systemkonfiguration, Diagnose-, Kapazitäts- und Nutzungsdaten gehören.

Die Verarbeitung dient der sicheren, stabilen und effizienten Auslieferung sowie der Fehler- und Missbrauchsanalyse. Als Rechtsgrundlage kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht; das berechtigte Interesse liegt im sicheren und funktionsfähigen Betrieb der Website. Soweit ein Aufruf der Durchführung vorvertraglicher Maßnahmen dient, kann zusätzlich Art. 6 Abs. 1 lit. b DSGVO einschlägig sein.

Die konkrete Log-Aufbewahrung hängt von der genutzten Vercel-Konfiguration ab und wurde für dieses Projekt noch nicht als feste Frist bestätigt. Vercel beschreibt im DPA Löschung von Kundendaten nach Vertragsende innerhalb eines wirtschaftlich angemessenen Zeitraums, vorbehaltlich gesetzlicher Pflichten. Eine projektspezifische Aufbewahrungsfrist und die vertraglichen Einzelheiten sind noch nicht abschließend dokumentiert.

Geschützte Vorschau-Deployments können zusätzlich Vercel Authentication einsetzen. Dann verarbeitet Vercel für die Zugangskontrolle weitere Authentifizierungs- und Sitzungsdaten. Die öffentliche Website unter www.vergani-studios.de benötigt keine solche Anmeldung; geschützte Vorschauen bleiben davon getrennt.

Kontaktaufnahme und Kontaktformular

Beim Ausfüllen werden je nach gewähltem Angebot Name, Unternehmen, E-Mail-Adresse, optionale Telefonnummer, bevorzugte Kontaktart, Website oder Social-Media-Link, Branche, Standortangaben sowie Angaben zu Projekt, Bedarf, Zielen, Budget, Zeitplan und Nachricht verarbeitet. Bei Autohaus-Anfragen können zusätzlich Fahrzeugvolumen, Standorte und aktueller Ablauf abgefragt werden. Für Content, Vergani OS und reloovi werden die jeweils sichtbaren fachlichen Auswahlantworten verarbeitet.

Zusätzlich verarbeitet der Server die Herkunftsseite innerhalb dieser Website, Startzeitpunkt, eine zufällige technische Anfrage-ID, ein kurzlebiges signiertes Sitzungstoken, Spam-Schutz-Token und technische Verbindungsdaten. Ein verborgenes Feld und eine Mindestbearbeitungszeit dienen der Missbrauchserkennung. Formulareingaben werden nicht in Local Storage, Session Storage oder URL-Parametern gespeichert.

Die Daten werden ausschließlich zur Prüfung und Beantwortung der Anfrage verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um vorvertragliche Maßnahmen geht, andernfalls Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an sachgerechter Geschäftskommunikation. Die Bestätigung der Datenschutzhinweise ist keine Einwilligung in Werbung.

Kommt kein Vertrag zustande, löschen wir die im Rahmen der Anfrage verarbeiteten personenbezogenen Daten grundsätzlich spätestens sechs Monate nach Abschluss der Kommunikation. Eine längere Speicherung erfolgt nur, soweit sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Für Daten aus zustande gekommenen Verträgen, Rechnungen sowie steuerlich oder handelsrechtlich relevanten Unterlagen gelten die jeweils anwendbaren gesetzlichen Aufbewahrungspflichten.

E-Mail-Versand über Resend

Nach erfolgreicher Prüfung übermittelt die Serverfunktion die Formulardaten an Resend, einen Dienst der Plus Five Five, Inc., USA. Resend stellt die Anfrage an Vergani zu; die E-Mail-Adresse des Interessenten wird als Reply-To verwendet. Es wird keine automatische Werbe-E-Mail ausgelöst.

Die Rechtsgrundlage folgt der Kontaktbearbeitung nach Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO. Resend beschreibt sich für Kundendaten als Auftragsverarbeiter. Nach den aktuellen Anbieterangaben werden E-Mail- und Logdaten in Free-, Pro- und Scale-Plänen 30 Tage gespeichert; Enterprise-Pläne können abweichen. Nach Vertragsende sollen verbleibende Kundendaten binnen 90 Tagen gelöscht werden, Backups nach sieben Tagen. Der tatsächlich gebuchte Plan und die vertraglich geltende Frist müssen bestätigt werden.

Resend nennt Standardvertragsklauseln und das EU-US Data Privacy Framework als Transfermechanismen. Welche Vereinbarungen und Unterauftragsverarbeiter für das genutzte Konto gelten, ist noch abschließend zu dokumentieren.

Spam-Schutz mit Cloudflare Turnstile

Cloudflare Turnstile wird erst im letzten Schritt des Kontaktformulars geladen. Dabei können IP-Adresse, TLS-Fingerabdruck, User-Agent, Sitekey, Herkunft und weitere zur Bot-Erkennung notwendige Signale verarbeitet werden. Das Ergebnis ist ein kurzlebiges Token; die Website prüft es serverseitig bei Cloudflare, bevor eine Anfrage versendet werden kann.

Der Zweck ist der Schutz des Formulars und der Infrastruktur vor automatisiertem Missbrauch. Als Rechtsgrundlage wird Art. 6 Abs. 1 lit. f DSGVO zugrunde gelegt. Für technisch notwendige Zugriffe auf das Endgerät kommt § 25 Abs. 2 Nr. 2 TDDDG in Betracht. Cloudflare bezeichnet die Turnstile-Signale für diesen Zweck als strikt notwendig und verarbeitet sie teils als Auftragsverarbeiter, teils zur Verbesserung der Bot-Erkennung in eigener Verantwortung.

Cloudflare ist ein US-Anbieter. Das Cloudflare-DPA sieht für relevante Drittlandübermittlungen unter anderem EU-Standardvertragsklauseln vor. Die konkrete Aufbewahrung und die für das Konto geltenden Vertragsbedingungen sind noch abschließend zu dokumentieren.

Terminbuchung und Cal.com

Beim normalen Seitenaufruf wird keine Verbindung zu Cal.com hergestellt. Der Inline-Kalender wird erst geladen, wenn „Termin buchen“ oder „Kalender öffnen“ bewusst ausgewählt wird. Vorher informiert die Seite über das externe Nachladen. Die im Vergani-Formular eingegebenen Werte werden nicht automatisch an Cal.com übergeben.

Nach dem Laden verarbeitet Cal.com Inc., USA, technische Daten wie IP-Adresse, Browser und Gerät, Referrer, aufgerufene Seiten und Zeitstempel. Der aktuelle Kalender lädt außerdem ein Profilbild von lh3.googleusercontent.com; dadurch erhält Google beim Kalenderaufruf technisch notwendige Verbindungsdaten wie die IP-Adresse und Browserangaben. Wird ein Termin ausgefüllt, verarbeitet Cal.com die dort eingegebenen Buchungsdaten wie Name, E-Mail-Adresse, optionale Telefonnummer, Terminangaben und Antworten auf Buchungsfragen. Je nach Kalenderkonfiguration können verbundene Kalender- oder Videodienste weitere Empfänger sein.

Das bewusste Nachladen dient der ausdrücklich angeforderten Terminbuchung. Als Rechtsgrundlage für Buchungsdaten kommt Art. 6 Abs. 1 lit. b DSGVO in Betracht; für technisch erforderliche Endgerätezugriffe § 25 Abs. 2 Nr. 2 TDDDG. Ob für einzelne Cal.com-Funktionen und das von Google bereitgestellte Profilbild zusätzlich eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG erforderlich ist, muss anhand der tatsächlich eingesetzten Konto- und Embed-Konfiguration juristisch geprüft werden; diese Bewertung ist noch offen.

Cal.com gibt an, Buchungsdaten während eines aktiven Kontos zu speichern. Nach Kontoschließung besteht ein Exportfenster von mindestens 30 Tagen; danach erfolgt Löschung nach dem Standardplan, ausgenommen gesetzlich erforderliche Daten sowie auslaufende Backups, Logs und Sicherheitsaufzeichnungen. Cal.com nennt Standardvertragsklauseln oder Angemessenheitsmechanismen wie das EU-US Data Privacy Framework für Transfers. DPA, Unterauftragsverarbeiter, verbundene Kalender, das Profilbild und eine interne Löschroutine sind noch zu bestätigen.

Lokale Medien, Speicher und Einwilligungsauswahl

Bilder, lokale Videoposter, SVG-Dateien und Schriften werden aus dem eigenen Website-Projekt ausgeliefert. Beim Laden dieser lokalen Medien entsteht keine zusätzliche Verbindung zu einem Medienanbieter. Für die extern ausgelieferten Videos gelten die folgenden gesonderten Hinweise.

Die Website legt derzeit keine Analyse- oder Marketing-Cookies an. Für die Datenschutzauswahl wird ausschließlich ein Local-Storage-Eintrag im Browser gespeichert. Er enthält die Kategorien „Notwendig“, „Analyse“ und „Marketing“, einen ISO-Zeitstempel und die Version der Einwilligung. Er enthält keine Nutzer-ID, Formularwerte oder Fingerprinting-Merkmale.

Diese Speicherung ermöglicht, die getroffene Auswahl bei einem späteren Aufruf zu beachten. Sie wird als technisch erforderliche Präferenzspeicherung nach § 25 Abs. 2 Nr. 2 TDDDG behandelt. Die Auswahl kann jederzeit über „Cookie-Einstellungen“ im Footer geändert oder widerrufen werden.

07a

Showreel und Videowiedergabe über Mux

Die Content-Videos auf Homepage und Content-Seite sowie der Film auf der Autohaus-Seite werden über Mux, Inc., USA, ausgeliefert. Die Vorschaubilder liegen im eigenen Website-Projekt. Kurz vor Sichtbarkeit einer vorgesehenen Medienfläche wird die Verbindung zu Mux automatisch vorbereitet. Soweit der Browser dies erlaubt, läuft das Video sichtbar stumm und inline in einer Schleife; außerhalb des sichtbaren Bereichs pausiert es. Bei aktivierter Einstellung für reduzierte Bewegung oder blockierter automatischer Wiedergabe bleibt das statische Vorschaubild sichtbar. Es gibt keine Tonwiedergabe und keine frei stehenden Player-Bedienelemente. Die Bewegung kann über die vorhandene Bewegungssteuerung pausiert werden.

Für die Auslieferung werden IP-Adresse, Zeitpunkt, angeforderte Videodateien sowie technisch übermittelte Browser- und Verbindungsinformationen an Mux und dessen Auslieferungsinfrastruktur übertragen. Die Website verwendet direkte HLS-Wiedergabe ohne Mux Player, Mux Data oder Analyse-SDK. Die eigene Videoeinbindung setzt keine Cookies oder stabilen Nutzerkennungen und übergibt keine Namen, E-Mail-Adressen oder Formularwerte. Auslieferungsprotokolle beim Anbieter sind damit nicht ausgeschlossen.

Die automatische Videoladung ist derzeit nicht an die Kategorien „Analyse“ oder „Marketing“ gekoppelt. Eine Ablehnung dieser Kategorien verhindert deshalb die beschriebenen Videoanfragen nicht. Die abschließende rechtliche Einordnung einschließlich einer möglichen vorherigen Einwilligung, der konkreten Aufbewahrung und der vertraglichen Absicherung der Übermittlung an Mux ist noch offen. Aus dem öffentlichen Betrieb folgt keine Bestätigung dieser Punkte.

Geplante Analyse- und Marketingdienste – derzeit deaktiviert

Google Analytics 4, Google Ads Conversion Tracking und Remarketing, Google Tag Manager sowie Meta Pixel beziehungsweise Meta Business Tools sind geplant und derzeit deaktiviert. Es sind keine Anbieterkennungen hinterlegt. Es werden keine zugehörigen Tags geladen, Tracking-Anfragen gesendet oder Analyse- und Marketing-Cookies gesetzt. Die folgenden Angaben beschreiben ausschließlich eine mögliche künftige Nutzung. Davon getrennt ist das oben beschriebene Google-Profilbild beim ausdrücklich geöffneten Cal.com-Kalender.

Google Analytics 4 – geplante Reichweitenanalyse

Vorgesehen ist, die Nutzung von Seiten und Inhalten zu verstehen und die Website zu verbessern. Je nach späterer Konfiguration könnten Seitenaufrufe, Interaktionen, Zeitpunkte, Referrer beziehungsweise Kampagnenherkunft, Browser-, Geräte- und Sprachangaben sowie pseudonyme Cookie- oder Gerätekennungen verarbeitet werden. Google Analytics soll ausschließlich nach einer Analyse-Einwilligung laden. Eine Verknüpfung mit Werbefunktionen ist damit nicht automatisch freigegeben.

Google Ads – geplante Conversion-Messung und Remarketing

Vorgesehen ist, die Wirkung von Anzeigen anhand festgelegter Aktionen zu messen und interessierte Besucher später erneut mit Werbung anzusprechen. Dazu könnten Anzeigenklick-Kennungen, aufgerufene Seiten, ausgewählte Ereignisse mit Zeitstempeln, technische Geräte- und Browserdaten sowie Werbe-Cookies beziehungsweise pseudonyme Kennungen verarbeitet werden. Diese Funktionen sollen ausschließlich nach einer Marketing-Einwilligung starten. Eine Übermittlung von Kontaktformularinhalten ist nicht vorgesehen.

Google Tag Manager – geplante Tag-Verwaltung

Der Tag Manager könnte künftig freigegebene Tags technisch verwalten und entsprechend der Einwilligung auslösen. Beim Laden können insbesondere IP-Adresse, Browserinformationen und die angeforderte Containerdatei an Google übermittelt werden. Ein Container darf daher nicht schon vor der erforderlichen Einwilligung geladen werden. Die zentral verwalteten Tags benötigen jeweils eigene, korrekt zugeordnete Einwilligungsprüfungen; der Tag Manager ersetzt diese nicht.

Meta Pixel und Meta Business Tools – geplante Werbemessung

Vorgesehen sind die Messung der Wirkung von Facebook- und Instagram-Werbung und die Bildung von Zielgruppen für erneute Ansprache. Je nach späterer Konfiguration könnten Seitenaufrufe, ausgewählte Aktionen, Zeitpunkte, Referrer, Browser- und Gerätedaten, IP-Adressen sowie Cookie- oder sonstige pseudonyme Kennungen an Meta übermittelt und mit dort vorhandenen Informationen verknüpft werden. Meta-Funktionen sollen ausschließlich nach Marketing-Einwilligung starten. Ein automatischer Abgleich von Formularadressen oder anderen Kontaktdaten wird jetzt nicht eingerichtet.

Voraussetzungen vor einer Aktivierung

Analyse und Marketing sind standardmäßig abgelehnt. Vor der jeweiligen Einwilligung dürfen weder externe Tags und Tracking-Anfragen noch zugehörige Cookies entstehen. Für Google ist Consent Mode v2 mit anfänglich analytics_storage: denied, ad_storage: denied, ad_user_data: denied und ad_personalization: denied vorgesehen. Erst nach der passenden Einwilligung werden diese Signale aktualisiert. Consent Mode ersetzt keine Einwilligung; eine Variante mit vorab gesendeten Messsignalen ist nicht vorgesehen.

Eine spätere Einwilligung kann jederzeit über „Cookie-Einstellungen“ geändert oder widerrufen werden. Vor Aktivierung sind die tatsächlichen Anbieter und Konten, IDs, Ereignisse, Cookies, Speicherfristen, Empfänger, Drittlandtransfers und Verträge zu prüfen und diese Hinweise zu konkretisieren. Kontaktformularinhalte dürfen nicht ungefiltert an solche Dienste übermittelt werden. Neue Dienste oder wesentlich geänderte Zwecke erfordern eine erneute Prüfung und gegebenenfalls neue Einwilligungen; eine alte Auswahl darf nicht ungeprüft übernommen werden. Die jetzige technische und textliche Vorbereitung aktiviert keinen dieser Dienste.

Empfänger und Übermittlungen in Drittländer

Aktuelle technische Empfänger können Vercel für Hosting und Serverfunktionen, Resend für den E-Mail-Versand, Cloudflare für Turnstile, Mux für die Videowiedergabe sowie – erst nach bewusster Kalenderauswahl – Cal.com, Google als Anbieter des eingebundenen Profilbilds und weitere im Kalender konfigurierte Unterauftragsverarbeiter sein. Diese Anbieter haben Sitz oder mögliche Verarbeitung in den USA.

Die Anbieter nennen je nach Dienst Standardvertragsklauseln der EU-Kommission und teilweise Zertifizierungen nach dem EU-US Data Privacy Framework. Diese Anbieterangaben ersetzen nicht die Prüfung, ob die jeweils erforderlichen Auftragsverarbeitungsverträge wirksam einbezogen wurden, welche Unterauftragsverarbeiter für das konkrete Konto genutzt werden und ob ergänzende Schutzmaßnahmen erforderlich sind.

Ihre Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Wenn Daten auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden, kann aus Gründen, die sich aus der besonderen Situation ergeben, Widerspruch eingelegt werden. Bei Direktwerbung besteht ein jederzeitiges Widerspruchsrecht. Außerdem besteht das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Anfragen zu diesen Rechten können an info@vergani-studios.de gerichtet werden.

Verschlüsselung und Sicherheit

Bei der bereitgestellten Webadresse erfolgt die Übertragung per TLS. Sicherheitsheader, Herkunftsprüfung, serverseitige Eingabevalidierung, ein verborgenes Spam-Feld, signierte kurzlebige Sitzungen und Turnstile begrenzen Missbrauchsrisiken. Ein vollständiger Schutz vor allen Risiken kann nicht garantiert werden.

Stand, Änderungen und Quellen

Stand: 15. September 2026. Diese Hinweise werden angepasst, wenn Funktionen, Anbieter, Rechtslage oder tatsächliche Verarbeitung geändert werden. Der technische Stand wurde mit Code-, Produktions-Build- und Browserprüfung abgeglichen.

Primärquellen, geprüft am 15. September 2026: