Geltungsbereich: conpeo.eu (Marketing-Website) und studio.conpeo.app (Betreiber-Web-App).
1.Einleitung und Geltungsbereich
Diese Cookie-Richtlinie informiert darüber, welche Cookies und ähnlichen Technologien auf den Websites der Conpeo Technologies UG (haftungsbeschränkt) zum Einsatz kommen, zu welchen Zwecken, auf welcher Rechtsgrundlage, wie lange Informationen gespeichert werden und ob eine Übermittlung in Drittländer erfolgt.
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO: Conpeo Technologies UG (haftungsbeschränkt), Kasernenstraße 67, 40213 Düsseldorf, Deutschland. Geschäftsführer: Kai Sauerländer. HRB 113860. E-Mail Datenschutz: datenschutz@conpeo.eu. Kein Datenschutzbeauftragter bestellt (§ 38 BDSG, Art. 37 DSGVO); Datenschutzanfragen richten Sie an datenschutz@conpeo.eu.
Sachlicher Geltungsbereich. Diese Richtlinie gilt für (1) die Marketing-Website conpeo.eu und (2) die Betreiber-Web-App studio.conpeo.app.
Abgrenzung zur iOS-App. Conpeo betreibt zusätzlich eine native iOS-App. Die dort eingesetzten Geräte-Berechtigungen, SDK-Einwilligungen und Technologien werden in der gesonderten Datenschutzerklärung beschrieben. Diese Cookie-Richtlinie betrifft ausschließlich die o. g. Websites.
Verhältnis zu weiteren Dokumenten. Diese Cookie-Richtlinie ist das itemisierte Begleitdokument zur Datenschutzerklärung sowie zum Datenschutzhinweis für Betreiber, auf die der Cookie-Banner verweist. Die konkrete Ausgestaltung des Consent-Banners ist Gegenstand der technischen Umsetzung; die vorliegende Richtlinie ist die Bestandsaufnahme der eingesetzten Technologien.
2.Was sind Cookies und ähnliche Technologien?
Cookies sind kleine Textdateien, die beim Aufruf einer Website auf dem Endgerät gespeichert und bei einem späteren Aufruf wieder ausgelesen werden können. Man unterscheidet Session-Cookies (nach Schließen des Browsers gelöscht) und persistente Cookies (für eine definierte Dauer gespeichert) sowie First-Party-Cookies (von der besuchten Domain gesetzt) und Third-Party-Cookies (von Drittanbieter-Domains).
Ähnliche Technologien im Sinne des § 25 TDDDG sind insbesondere localStorage und sessionStorage, Pixel/Zählpixel (Web Beacons) sowie Fingerprinting und vergleichbare Wiedererkennungsverfahren. Rechtlich werden alle diese Verfahren gleich behandelt: Maßgeblich ist nicht die Technik, sondern ob Informationen auf dem Endgerät gespeichert oder daraus ausgelesen werden (§ 25 TDDDG). Der Schutz greift unabhängig davon, ob personenbezogene Daten betroffen sind.
3.Rechtsgrundlagen — die Zwei-Ebenen-Logik (§ 25 TDDDG + Art. 6 DSGVO)
Beim Einsatz von Cookies sind zwei getrennt zu beurteilende Schritte zu unterscheiden:
Ebene 1 — Zugriff auf das Endgerät (§ 25 TDDDG):
- § 25 Abs. 1 TDDDG: Für technisch nicht notwendige Speicher-/Auslesevorgänge ist eine vorherige, informierte, freiwillige und ausdrückliche Einwilligung erforderlich – unabhängig davon, ob personenbezogene Daten betroffen sind.
- § 25 Abs. 2 Nr. 2 TDDDG: Keine Einwilligung ist erforderlich, wenn die Speicherung/der Zugriff unbedingt erforderlich ist, damit der vom Nutzer ausdrücklich gewünschte digitale Dienst bereitgestellt werden kann (technisch notwendige Cookies). Diese Ausnahme ist eng auszulegen.
Ebene 2 — Verarbeitung personenbezogener Daten (Art. 6 DSGVO): Soweit im Anschluss personenbezogene Daten verarbeitet werden, bedarf dies einer eigenständigen Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Folgeverarbeitung bei technisch nicht notwendigen Technologien; Art. 6 Abs. 1 lit. f bzw. lit. b DSGVO für die mit technisch notwendigen Cookies verbundene Verarbeitung (z. B. Sicherheit, Authentifizierung, Speicherung der Einwilligungsentscheidung).
4.Einwilligung, Widerruf und Einstellungen
Einwilligung vor dem Laden. Technisch nicht notwendige Technologien (Analyse, Tag-Management) werden erst nach Ihrer aktiven Einwilligung geladen bzw. ausgeführt. Vor der Einwilligung werden keine entsprechenden Cookies gesetzt und keine Verbindungen zu den betreffenden Diensten aufgebaut.
Aktive Opt-in-Einwilligung. Die Einwilligung erfolgt durch eine ausdrückliche, bestätigende Handlung. Vorangekreuzte Kästchen oder voreingestellte Schieberegler sind keine wirksame Einwilligung (EuGH, Urteil vom 1. Oktober 2019, Rs. C-673/17 – Planet49; bestätigt durch BGH, Urteil vom 28. Mai 2020, I ZR 7/16).
Mindestinformationen. Zu den „klaren und umfassenden Informationen" gehören insbesondere Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff erhalten können. Beides ist in den nachstehenden Tabellen abgebildet.
Gleichwertige Ablehnungsmöglichkeit. Der Cookie-Banner bietet auf der ersten Ebene eine Ablehnungsmöglichkeit an, die ebenso einfach, sichtbar und erreichbar ist wie die Zustimmungsmöglichkeit; manipulative Gestaltung (Nudging/Dark Patterns) wird vermieden (vgl. VG Hannover, Urteil vom 19. März 2025, Az. 10 A 5385/22).
Granulare Auswahl. Sie können Ihre Einwilligung pro Kategorie (z. B. „Statistik/Analyse") getrennt erteilen oder verweigern.
Widerruf jederzeit (Art. 7 Abs. 3 DSGVO). Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den dauerhaft verfügbaren Link „Cookie-Einstellungen" im Footer beider Websites, dauerhaft – und ebenso einfach wie die Erteilung. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
Protokollierung. Ihre Einwilligungsentscheidung (Erteilung, Umfang, Zeitpunkt, Version) wird zur Erfüllung der Nachweispflicht (Art. 7 Abs. 1 DSGVO) protokolliert.
5.Übersicht der eingesetzten Cookies und Technologien
Tabelle A — Technisch notwendige Cookies/Technologien (§ 25 Abs. 2 Nr. 2 TDDDG; keine Einwilligung erforderlich)
| Name / Anbieter | Zweck | Rechtsgrundlage | Speicherdauer | Drittlandübermittlung |
|---|---|---|---|---|
conpeo_consent / Conpeo (First-Party) | Speicherung Ihrer Cookie-Einwilligungsentscheidung | § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO bzw. lit. f | 12 Monate (365 Tage) | Nein (EU) |
| Session-/Sicherheits-Cookie / Vercel (Hosting, fra1) | Betrieb, Lastverteilung, Sicherheit | § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO | — (auf conpeo.eu wird derzeit kein Vercel-Cookie gesetzt; geprüft am 27. Juli 2026) | USA (Vercel Inc., DPF) — EU-Speicherung fra1; siehe Abschnitt 6 |
Auth-/Session-Cookie (z. B. sb-…-auth-token) / Supabase — nur studio.conpeo.app | Aufrechterhaltung der angemeldeten Sitzung (Login) | § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b DSGVO | Bis zum Logout bzw. Ablauf des Refresh-Tokens; Erneuerung bei aktiver Nutzung | EU (eu-central-1, Frankfurt); Supabase NICHT DPF → SCC + TIA; siehe Abschnitt 6 |
| CSRF-/Sicherheitstoken | Schutz vor Cross-Site-Request-Forgery | § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO | — (derzeit nicht gesetzt; geprüft am 27. Juli 2026) | — |
Hinweis: Selbst gehostete Schriftarten lösen keinen externen CDN-Aufruf aus und setzen keine Cookies.
Tabelle B — Analyse/Statistik (§ 25 Abs. 1 TDDDG + Art. 6 Abs. 1 lit. a DSGVO; Einwilligung erforderlich)
| Name / Anbieter | Zweck | Rechtsgrundlage | Speicherdauer | Drittlandübermittlung |
|---|---|---|---|---|
ph_<project_api_key>_posthog (Cookie) / PostHog — conpeo.eu und studio.conpeo.app | Produktanalyse: Speicherung von distinct_id und Session-ID (First-Party) | § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO | 365 Tage | EU-Cloud (AWS eu-central-1, Frankfurt); PostHog Inc. (US-Mutter) DPF; siehe Abschnitt 6 |
ph_<project_api_key>_posthog (localStorage) / PostHog | Device-ID, Feature-Flag-Cache, Super-Properties, SDK-Konfiguration | § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO | Dauerhaft (bis zur Löschung) | wie vor |
PostHog Session-ID ($session_id je Event) | Gruppierung der Ereignisse zu einer Sitzung | § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO | Neue Sitzung nach 30 Min. Inaktivität bzw. max. 24 Std. | wie vor |
| Opt-out-/Consent-Status (PostHog-intern) / PostHog | Speicherung Ihrer Opt-in-/Opt-out-Entscheidung | § 25 Abs. 2 Nr. 2 TDDDG bzw. lit. a für die Erfassung | localStorage bzw. Cookie unter dem Schlüssel __ph_opt_in_out_<project_api_key>; 365 Tage | wie vor |
Konfigurationshinweis: PostHog wird consent-gated betrieben (Erfassung erst nach Einwilligung); Autocapture ist deaktiviert; es findet kein seitenübergreifendes Third-Party-Tracking statt.
Tabelle C — Tag-Management / künftige Technologien (§ 25 Abs. 1 TDDDG + Art. 6 Abs. 1 lit. a DSGVO; Einwilligung erforderlich)
| Name / Anbieter | Zweck | Rechtsgrundlage | Speicherdauer | Drittlandübermittlung |
|---|---|---|---|---|
Google Tag Manager, Container GTM-T3TDMN6M / Google LLC — conpeo.eu | Verwaltung/Auslieferung von Tags. GTM ist einwilligungspflichtig und wird ausschließlich nach Ihrer Einwilligung in die Kategorie „Statistik" geladen; ohne Einwilligung wird gtm.js nicht angefordert und keine Verbindung zu googletagmanager.com aufgebaut | § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO | GTM setzt im Regelbetrieb keine eigenen Tracking-Cookies; lädt nach Einwilligung gtm.js und baut dabei eine Verbindung zu googletagmanager.com auf | USA (Google LLC, DPF); siehe Abschnitt 6 |
| Über GTM verwaltete Tags | Auslieferung einzelner Tags über den Container | § 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO | Derzeit wird über den Container kein Tag ausgeliefert. Jedes Tag wird vor seiner Aktivierung hier einzeln mit Zweck, Speicherdauer und Drittlandbezug aufgeführt | — |
6.Drittlandübermittlungen
Eine Speicherung in der EU bedeutet nicht zwangsläufig, dass keine Übermittlung stattfindet — bei Anbietern mit US-Mutterkonzern besteht aufgrund US-Rechts (insb. CLOUD Act, FISA 702) ein Restrisiko behördlichen Zugriffs, auch wenn die Daten physisch in der EU liegen.
- PostHog Inc. (USA): EU-Cloud (AWS eu-central-1, Frankfurt); US-Mutter DPF-zertifiziert; ergänzend SCC.
- Google LLC (USA, GTM): DPF-zertifiziert; ergänzend SCC.
- Vercel Inc. (USA, Hosting): DPF-zertifiziert; Region fra1; ergänzend SCC.
- Supabase (Auth studio.conpeo.app): NICHT DPF-gelistet. Übermittlung auf Grundlage von Standardvertragsklauseln (SCC) zzgl. Transfer-Impact-Assessment (TIA). Verarbeitungsregion: eu-central-1 (Frankfurt).
Stand und Vorbehalt zum DPF: Das EU-U.S. Data Privacy Framework wurde vom Gericht der EU mit Urteil vom 3. September 2025 (Rs. T-553/23, Latombe/Kommission) bestätigt; gegen das Urteil ist beim EuGH ein Rechtsmittel anhängig (Rs. C-703/25 P, eingelegt am 31. Oktober 2025). Das DPF bleibt bis zu einer etwaigen abweichenden Entscheidung gültige Übermittlungsgrundlage. Wir beobachten die Entwicklung und passen die Übermittlungsmechanismen bei Bedarf an.
7.Betroffenenrechte und Beschwerde
Ihnen stehen die Rechte aus Art. 15–21 DSGVO zu sowie das Recht auf Widerruf der Einwilligung nach Art. 7 Abs. 3 DSGVO. Den vollständigen Rechtekatalog finden Sie in der Datenschutzerklärung. Ihre Cookie-Einwilligung ändern oder widerrufen Sie jederzeit über den Link „Cookie-Einstellungen".
Beschwerderecht (Art. 77 DSGVO). Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2-4, 40213 Düsseldorf; poststelle@ldi.nrw.de; Tel. +49 211 38424-0.
8.Änderungen dieser Cookie-Richtlinie
Wir passen diese Cookie-Richtlinie an, wenn sich die eingesetzten Technologien, die Rechtslage oder die Rechtsprechung ändern. Maßgeblich ist die jeweils auf den Websites veröffentlichte aktuelle Fassung. Stand: 8. Juli 2026.