Informationen über die Verarbeitung personenbezogener Daten nach Art. 13 DSGVO.
Stand: 30. September 2026
Beim Aufruf dieser Website werden keine Daten an Dritte übertragen. Es gibt keine Cookies, keinen Local Storage, keine Analyse- oder Statistik-Tools, keine Werbepixel und keine Social-Media-Einbindungen. Die Schriften liegen auf dem eigenen Server und werden nicht von Google Fonts geladen.
Deshalb gibt es hier auch kein Cookie-Banner: es gibt nichts, worin man einwilligen müsste.
Daten verlassen den Browser nur, wenn Sie selbst etwas absenden, also wenn Sie sich auf /mask für die Briefe anmelden oder mir eine E-Mail schreiben.
Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des § 38 BDSG liegen nicht vor: es sind nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Second-Order Mind ist eine Einzelunternehmung.
Diese Website wird bei Netlify gehostet. Wenn Sie eine Seite aufrufen, verarbeitet Netlify als Auftragsverarbeiter technisch notwendige Verbindungsdaten. Dazu gehören:
Ohne diese Daten kann eine Website technisch nicht ausgeliefert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und stabilen Betrieb der Website sowie in der Abwehr von Angriffen. Die Logdaten werden von Netlify für einen begrenzten Zeitraum gespeichert. Ich werte sie nicht aus, erstelle daraus keine Nutzungsprofile und führe sie nicht mit anderen Daten zusammen.
Auf /mask gibt es einen Selbsttest mit neun Fragen. Die Auswertung läuft vollständig im Browser, mit JavaScript auf Ihrem eigenen Gerät.
Ihre einzelnen Antworten werden nicht übertragen, nicht gespeichert und sind für mich nicht sichtbar. Wenn Sie die Seite schließen, sind sie weg. Wenn Sie sich anschließend für die Briefe anmelden, wird zusammen mit der Anmeldung lediglich das Ergebnis übermittelt, also eines der drei Wörter, das der Test ausgibt. Damit können die Briefe auf Ihr Ergebnis eingehen. Aus welchen Antworten es entstanden ist, wird nicht übermittelt.
Wenn Sie sich für die Briefe anmelden, verarbeite ich:
Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie darauf klicken, werden Sie in die Empfängerliste aufgenommen. Solange Sie nicht bestätigen, passiert nichts. Dieses Verfahren dient dem Nachweis, dass die Anmeldung tatsächlich von Ihnen ausgeht, und ist nach Art. 7 Abs. 1 DSGVO erforderlich.
Die Briefe enthalten eine kleine, unsichtbare Bilddatei. Dadurch kann ich erkennen, ob und wann eine E-Mail geöffnet wurde. Ich nutze das ausschließlich, um zu verstehen, welche Inhalte ankommen, und um die Briefe besser zu machen. Darauf wird bereits bei der Anmeldung ausdrücklich hingewiesen, und Ihre Einwilligung bezieht sich auch darauf. Wenn Ihr E-Mail-Programm das Laden externer Bilder blockiert, findet keine Messung statt.
Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, für die Erfolgsmessung zusätzlich § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit widerrufen, ohne Angabe von Gründen. Am einfachsten über den Abmeldelink am Ende jeder E-Mail, oder per Nachricht an hello@secondordermind.com. Der Widerruf gilt ab dem Zeitpunkt der Erklärung und berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.
Der Versand erfolgt über UAB „Sender.net“, Lvivo str. 25, Vilnius, Litauen (Unternehmenscode 302820904, USt-IdNr. LT100008985714), als Auftragsverarbeiter nach Art. 28 DSGVO. Ein Auftragsverarbeitungsvertrag liegt vor.
Die Server stehen nach Auskunft des Anbieters vom 2. Oktober 2026 in Litauen und den Niederlanden, also innerhalb der Europäischen Union. Der Auftragsverarbeitungsvertrag erlaubt dem Anbieter allerdings ausdrücklich, Daten auch außerhalb der EU zu verarbeiten, und ein Teil seiner Unterauftragsverarbeiter hat seinen Sitz in den USA. Was das konkret bedeutet, steht unten unter Übermittlung in Drittländer. Ich erwähne es hier ausdrücklich, weil es ein Unterschied zu einer reinen Speicherung in der EU ist.
Das Anmeldeformular sendet Ihre Eingaben nicht direkt an den Versanddienstleister, sondern an eine Funktion auf dem Server dieser Website. Diese Funktion prüft die Eingaben und gibt sie anschließend an UAB „Sender.net“ weiter. Für Sie hat das einen konkreten Vorteil: Ihr Browser nimmt zu keinem Zeitpunkt Verbindung zum Versanddienstleister auf, auch nicht beim Absenden. Ihre IP-Adresse wird dem Versanddienstleister dadurch nicht von Ihrem Gerät aus mitgeteilt. Die Funktion läuft bei Netlify (siehe oben unter Server-Logfiles).
Der Bestätigungslink in der E-Mail enthält eine kryptografische Signatur Ihrer Adresse. Dadurch kann niemand eine Bestätigung für eine fremde Adresse erzeugen. Der Link verfällt nach 14 Tagen.
Wenn Sie mir schreiben, verarbeite ich Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, bei Anfragen zu einem Vertrag oder einem Angebot Art. 6 Abs. 1 lit. b DSGVO. Das Postfach wird über Google Workspace betrieben (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Korrespondenz wird gelöscht, sobald sie nicht mehr benötigt wird und keine Aufbewahrungspflicht besteht.
Personenbezogene Daten werden nicht verkauft und nicht für Werbung Dritter weitergegeben. Eingesetzt werden ausschließlich folgende Dienstleister, jeweils auf Grundlage eines Auftragsverarbeitungsvertrags:
| Dienst | Zweck | Sitz |
|---|---|---|
| Netlify, Inc. | Hosting der Website, Server-Logfiles | USA |
| UAB „Sender.net“ | Versand der Briefe, Verwaltung der Empfängerliste | Litauen; Server in Litauen und den Niederlanden |
| Google Ireland Limited | E-Mail-Postfach (Google Workspace) | Irland |
Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA, betreibt das Hosting. Dabei können Daten in den USA verarbeitet werden. Netlify, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Für diesen Fall besteht nach dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 ein angemessenes Schutzniveau. Ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss 2021/914).
Auch bei diesen Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf Daten zugreifen. Sie sollen das wissen, bevor Sie diese Seite nutzen.
UAB „Sender.net“ hat seinen Sitz in Litauen, die Server stehen nach Auskunft des Anbieters in Litauen und den Niederlanden. Der Auftragsverarbeitungsvertrag räumt dem Anbieter jedoch das Recht ein, Daten überall dort zu verarbeiten, wo er oder seine Unterauftragsverarbeiter tätig sind. In der dem Vertrag beigefügten Liste der Unterauftragsverarbeiter sind unter anderem Unternehmen mit Sitz in den USA aufgeführt, etwa für Zahlungsabwicklung, Support und Netzwerkschutz. Der Vertrag verpflichtet den Anbieter, bei Unterauftragsverarbeitern in den USA eine Zertifizierung nach dem EU-US Data Privacy Framework sicherzustellen. Die aktuelle Liste der Unterauftragsverarbeiter können Sie jederzeit bei mir anfordern.
Auch hier gilt: eine Verarbeitung durch US-Behörden lässt sich trotz dieser Garantien nicht vollständig ausschließen. Wenn Sie das nicht möchten, melden Sie sich nicht für die Briefe an. Die Website selbst können Sie ohne jede Datenübermittlung an Dritte nutzen.
Google Ireland Limited hat seinen Sitz in der Europäischen Union. Soweit eine Verarbeitung durch Google LLC in den USA erfolgt, ist Google LLC ebenfalls nach dem EU-US Data Privacy Framework zertifiziert.
Sie haben jederzeit das Recht auf:
Eine E-Mail an hello@secondordermind.com genügt. Es entstehen Ihnen dadurch keine Nachteile.
Nach Art. 77 DSGVO können Sie sich bei einer Aufsichtsbehörde beschweren, und zwar bei der Behörde Ihres Wohnorts, Ihres Arbeitsplatzes oder des Ortes des vermuteten Verstoßes. Für die oben genannte Anschrift zuständig ist:
Sie sind nicht verpflichtet, Daten anzugeben. Es gibt keinen Vertrag und keine gesetzliche Pflicht, die das verlangt. Die einzige Folge ist die naheliegende: ohne E-Mail-Adresse kann ich Ihnen die Briefe nicht schicken. Der Vorname ist auch dann freiwillig.
Es findet keine automatisierte Entscheidungsfindung und kein Profiling mit rechtlicher Wirkung statt. Das Ergebnis des Selbsttests auf /mask ist ein Angebot zur Selbstreflexion, keine Diagnose und keine Entscheidung über Sie.
Diese Erklärung beschreibt den Stand vom 30. September 2026. Sie wird angepasst, sobald sich die Verarbeitung ändert, etwa wenn Zahlungs- oder Buchungsdienste hinzukommen. Die jeweils aktuelle Fassung steht immer unter secondordermind.com/datenschutz.
Information on the processing of personal data under Art. 13 GDPR. This is a convenience translation. The German version above is the authoritative one.
Loading this website sends no data to any third party. There are no cookies, no local storage, no analytics, no ad pixels, no social media embeds. The fonts are served from this site's own server, not from Google Fonts.
That is also why there is no cookie banner. There is nothing here to consent to.
Data leaves your browser only when you actively send something, meaning when you sign up for the letters on /mask or write me an email.
No data protection officer has been appointed. The threshold in § 38 BDSG is not met: fewer than 20 people are permanently engaged in automated processing of personal data here. Second-Order Mind is a one person business.
This site is hosted by Netlify. When you open a page, Netlify processes the connection data any web server needs: your IP address, the date and time, the file requested and its size, the referring page if your browser sends one, and your browser and operating system. A website cannot be delivered without this. The legal basis is Art. 6 (1) (f) GDPR, the legitimate interest being secure and stable operation. Netlify keeps these logs for a limited period. I do not analyse them, build profiles from them, or combine them with anything else.
There is a nine question self test on /mask. It is scored entirely in your own browser, in JavaScript, on your own device.
Your individual answers are never transmitted, never stored, and I cannot see them. Close the page and they are gone. If you then sign up for the letters, the only thing sent along with your signup is the result, one of three words, so that the letters can speak to it. Which answers produced it is not sent.
If you sign up, I process your email address (required), your first name (optional, used only to address you), your test result if you took the diagnostic, and the IP address and time of your signup and confirmation as proof of consent.
Double opt-in. After signing up you get one email with a confirmation link. You are only added to the list once you click it. Until then, nothing happens. This exists so that consent can be proven, as Art. 7 (1) GDPR requires.
Open tracking. The letters contain a small invisible image, which lets me see whether and when an email was opened. I use that only to understand which ideas land, so the letters get better. You are told this explicitly at signup and your consent covers it. If your email client blocks external images, no measurement happens.
Legal basis and withdrawal. Your consent under Art. 6 (1) (a) GDPR, and for the open tracking additionally § 25 (1) TDDDG. You can withdraw at any time, with no reason given, either through the unsubscribe link at the bottom of every email or by writing to hello@secondordermind.com. Withdrawal takes effect from then on and does not affect the lawfulness of processing before it.
Sending provider. UAB “Sender.net”, Lvivo str. 25, Vilnius, Lithuania (company code 302820904, VAT LT100008985714), as a processor under Art. 28 GDPR. A data processing agreement is in place.
According to the provider, as of 2 October 2026 the servers are in Lithuania and the Netherlands, inside the European Union. The processing agreement does however expressly allow the provider to process data outside the EU, and some of its sub-processors are based in the United States. What that means in practice is set out below under Transfers to third countries. I mention it here because it is a real difference from storage kept purely in the EU.
How the signup technically works. The form does not send your details straight to the sending provider. It sends them to a function on this site's own server, which checks them and then passes them on to UAB “Sender.net”. The practical benefit to you: your browser never connects to the sending provider at any point, not even when you submit, so your IP address is not disclosed to them by your device. That function runs on Netlify (see server log files above).
The confirmation link in the email carries a cryptographic signature of your address, so nobody can produce a confirmation for someone else's address. The link expires after 14 days.
If you write to me, I process your address and the content of your message in order to answer it. Legal basis Art. 6 (1) (f) GDPR, or Art. 6 (1) (b) where your message concerns a contract or an offer. The mailbox runs on Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland). Correspondence is deleted once it is no longer needed and no retention obligation applies.
Personal data is never sold and never passed on for third party advertising. The only processors used, each under a data processing agreement, are:
| Service | Purpose | Based in |
|---|---|---|
| Netlify, Inc. | Website hosting, server logs | USA |
| UAB “Sender.net” | Sending the letters, managing the list | Lithuania; servers in Lithuania and the Netherlands |
| Google Ireland Limited | Email mailbox (Google Workspace) | Ireland |
Netlify, Inc., 101 2nd Street, San Francisco, CA 94105, USA, provides the hosting, so data may be processed in the United States. Netlify, Inc. is certified under the EU-US Data Privacy Framework, which the European Commission found to provide an adequate level of protection in its decision of 10 July 2023. The Commission's Standard Contractual Clauses (implementing decision 2021/914) apply in addition.
Even with those safeguards, access by US authorities cannot be ruled out completely. You should know that before using this site.
UAB “Sender.net” is established in Lithuania and, according to the provider, its servers are in Lithuania and the Netherlands. The processing agreement nevertheless gives the provider the right to process data anywhere it or its sub-processors operate. The sub-processor list attached to that agreement includes companies based in the United States, for things like payment handling, support and network protection. The agreement obliges the provider to ensure that US sub-processors are certified under the EU-US Data Privacy Framework. You can ask me for the current sub-processor list at any time.
The same caveat applies here: even with those safeguards, access by US authorities cannot be ruled out completely. If you would rather that did not happen, do not sign up for the letters. You can use the website itself with no data going to any third party at all.
Google Ireland Limited is established in the European Union. Where Google LLC processes data in the US, Google LLC is likewise certified under the EU-US Data Privacy Framework.
At any time you have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability in a machine readable format (Art. 20), objection to processing based on legitimate interest (Art. 21), and withdrawal of consent at any time (Art. 7 (3)).
An email to hello@secondordermind.com is enough. Exercising any of these costs you nothing and has no downside for you.
Under Art. 77 GDPR you can also complain to a supervisory authority, either where you live, where you work, or where you believe the infringement happened. The authority responsible for the address above is Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Germany (datenschutz.rlp.de).
You are not obliged to provide anything. No contract and no law requires it. The only consequence is the obvious one: without an email address I cannot send you the letters. Your first name stays optional even then.
There is no automated decision making and no profiling with legal effect. The result of the diagnostic on /mask is an invitation to think about yourself. It is not a diagnosis and not a decision about you.
This notice describes the position as of 30 September 2026. It will be updated when the processing changes, for instance when payment or booking services are added. The current version always lives at secondordermind.com/datenschutz.