DATENSCHUTZERKLÄRUNG

DND Solutions / WebsiteGarage.de

Datenschutzinformationen für Websitebesucher, Interessenten, Geschäftskunden und Ansprechpartner

1. Geltungsbereich

Diese Datenschutzerklärung informiert darüber, wie personenbezogene Daten im Zusammenhang mit WebsiteGarage.de verarbeitet werden. Sie gilt insbesondere für Besucher der Website und des Newsrooms, Interessenten, Nutzer von Kontakt-, Angebots-, Projekt- und Kontofunktionen sowie für Kunden, deren Vertreter, Beschäftigte und Ansprechpartner.

Sie beschreibt Verarbeitungen, für die DND Solutions selbst Verantwortlicher im Sinne der DSGVO ist. Soweit DND Solutions personenbezogene Daten ausschließlich im Auftrag eines Kunden verarbeitet, gelten für diese Verarbeitung die jeweilige Vereinbarung zur Auftragsverarbeitung (AVV), die einbezogenen technischen und organisatorischen Maßnahmen (TOM) und der für den Auftrag geltende Subprocessor Annex.

2. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Dagmara Brzezinska

handelnd unter der Geschäftsbezeichnung DND Solutions

Fuchsbreite 39

37181 Hardegsen

Deutschland

E-Mail: [email protected]

WebsiteGarage.de ist ein von DND Solutions betriebenes Onlineangebot.

3. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur für festgelegte Zwecke und nur, wenn hierfür eine Rechtsgrundlage besteht. Je nach Verarbeitung kommen insbesondere folgende Rechtsgrundlagen in Betracht:

Art. 6 Abs. 1 lit. a DSGVO bei einer freiwilligen Einwilligung.
Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen oder die Durchführung eines Vertrags.
Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Verpflichtungen.
Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen, sofern keine überwiegenden Interessen oder Grundrechte der betroffenen Person entgegenstehen.

Soweit Informationen auf einem Endgerät gespeichert oder aus einem Endgerät ausgelesen werden, richtet sich die Zulässigkeit zusätzlich nach § 25 TDDDG. Die konkrete Rechtsgrundlage wird bei den jeweiligen Verarbeitungsvorgängen angegeben. Art. 6 Abs. 1 lit. b DSGVO wird nur angewendet, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen. Bei Beschäftigten, Vertretern und sonstigen Ansprechpartnern eines Geschäftskunden stützen wir die Verarbeitung für die Anbahnung, Durchführung und Organisation der Geschäftsbeziehung grundsätzlich auf Art. 6 Abs. 1 lit. f DSGVO, soweit keine speziellere Rechtsgrundlage einschlägig ist. Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt wird, liegen unsere berechtigten Interessen je nach Vorgang insbesondere in der sicheren und stabilen Bereitstellung unserer Systeme, dem Schutz von Konten und Infrastruktur, der Bearbeitung und Dokumentation geschäftlicher Kommunikation, der Missbrauchs- und Betrugsprävention, der Nachweisführung und Rechtsverteidigung sowie einer ordnungsgemäßen und effizienten Geschäftsorganisation. Das für den jeweiligen Vorgang maßgebliche Interesse ergibt sich aus dem dort beschriebenen Zweck.

4. Besuch der Website, Newsroom und technische Bereitstellung

Beim Aufruf von WebsiteGarage.de werden technisch erforderliche Verbindungs- und Zugriffsdaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene URL oder Ressource, Referrer soweit übermittelt, Browser- und Betriebssysteminformationen, HTTP-Header, Verbindungsdaten und sicherheitsrelevante Protokolldaten.

Die Verarbeitung dient der technischen Bereitstellung, Stabilität, Fehleranalyse, IT-Sicherheit und Abwehr missbräuchlicher oder automatisierter Zugriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Hosting-Anbieter ist die netcup GmbH. Der produktive Serverstandort ist Wien, Österreich. Server-Logs werden regulär 14 Tage gespeichert; sicherheitsrelevante Protokolldaten können bis zu 90 Tage gespeichert werden. Bei einem konkreten Sicherheitsvorfall kann eine längere Speicherung erforderlich sein.

5. Datensicherungen und Backup-Speicher bei Hetzner

Zur Sicherstellung von Verfügbarkeit und Wiederherstellbarkeit erstellen wir Datensicherungen und speichern sie in der Infrastruktur der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der für WebsiteGarage.de verwendete Backup-Speicher befindet sich in Deutschland.

Je nach Sicherungsumfang können Website- und Anwendungsdateien, Datenbanksicherungen, Konfigurationsdaten sowie Kundenkonto-, Bestell-, Vertrags- und technische Daten enthalten sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Backups werden grundsätzlich 30 Tage rollierend vorgehalten und anschließend überschrieben oder gelöscht, sofern kein konkreter Vorfall, keine Wiederherstellungsmaßnahme oder gesetzliche Pflicht eine längere Speicherung erfordert.

6. Cloudflare

WebsiteGarage.de nutzt Cloudflare als vorgeschaltete Netzwerk- und Sicherheitsinfrastruktur. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA.

Verarbeitet werden können insbesondere IP-Adresse, angeforderte URL oder Ressource, Datum und Uhrzeit, HTTP-Header, Browser- und Geräteinformationen, Referrer, Verbindungs- und TLS-Informationen sowie Sicherheits- und Ereignisdaten. Zwecke sind die sichere und performante Auslieferung der Website sowie die Abwehr und Analyse von Angriffen, Überlastung, Spam, Bots und sonstigem Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Soweit einzelne Sicherheitsfunktionen Informationen auf dem Endgerät speichern oder auslesen, erfolgt dies ohne Einwilligung nur, wenn die konkrete Funktion die Voraussetzungen des § 25 Abs. 2 TDDDG erfüllt.

Cloudflare betreibt eine global verteilte Infrastruktur. Übermittlungen an Cloudflare, Inc. in die USA werden, soweit die Voraussetzungen des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework erfüllt sind, auf Art. 45 DSGVO gestützt. Soweit kein anwendbarer Angemessenheitsbeschluss besteht, sieht das Cloudflare Data Processing Addendum insbesondere EU-Standardvertragsklauseln und zusätzliche Schutzmaßnahmen vor.

7. Forge12 Security

Zum Schutz von WebsiteGarage.de, der Kundenkonten und der technischen Infrastruktur setzen wir Forge12 Security ein. Die Verarbeitung dient insbesondere der Erkennung und Abwehr von Angriffen, der Begrenzung missbräuchlicher Zugriffe sowie der Rekonstruktion sicherheitsrelevanter Ereignisse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, stabilen und verfügbaren Betrieb unserer Systeme sowie im Schutz von Konten und personenbezogenen Daten.

IP-Adressen werden in den lokalen Forge12-Sicherheitstabellen ausschließlich als nicht rückrechenbare Hashwerte gespeichert. Roh-IP-Adressen werden dort nicht gespeichert.

Im Sicherheitsprotokoll können neben dem IP-Hash insbesondere eine WordPress-Benutzerkennung bei angemeldeten Nutzern, Ereignistyp, Schweregrad, Beschreibung sowie Datum und Uhrzeit verarbeitet werden. Diese Daten werden durch zeitgesteuerte Aufgaben automatisch nach 90 Tagen gelöscht.

Für IP-Sperren werden insbesondere IP-Hash, Sperrgrund, gegebenenfalls Länderkürzel sowie Zeitpunkt und Ablauf der Sperre verarbeitet. Befristete Sperren werden mit ihrem Ablauf automatisch gelöscht; manuell gesetzte Sperren bleiben bis zu ihrer Aufhebung bestehen.

Die Funktion zur Anzeige laufender Zugriffe verarbeitet insbesondere IP-Hash, aufgerufene Adresse, HTTP-Methode, Referrer, User-Agent, gegebenenfalls WordPress-Benutzerkennung sowie Land und, soweit aktiviert, Stadt. Diese Daten werden automatisch nach 24 Stunden gelöscht.

Zur Anfragebegrenzung werden IP-Hash, Anfragezähler und das zugehörige Zeitfenster verarbeitet. Die Daten werden mit Ablauf des jeweiligen Zeitfensters verworfen und nicht darüber hinaus aufbewahrt.

Datei- und Datenbankprüfungen speichern insbesondere technische Prüfergebnisse wie Dateipfade, Prüfsummen und Befunde. Diese betreffen grundsätzlich die Dateien und Inhalte des Systems. Soweit ein Datenbankbefund einen betroffenen Datensatz zitiert und dieser personenbezogene Daten enthält, können solche Daten ausnahmsweise Bestandteil des Befunds sein. Befunde werden entfernt, sobald sie bei einer erneuten Prüfung nicht mehr festgestellt werden oder nachdem die betroffene Datei beziehungsweise der Datensatz bearbeitet wurde.

Der externe Dienst SilentShield ist in der derzeitigen Konfiguration nicht aktiviert. Damit findet derzeit keine durch SilentShield veranlasste Übermittlung personenbezogener Daten an Forge12 oder einen hierfür eingesetzten Unterauftragsverarbeiter statt. Vor einer späteren Aktivierung werden Datenarten, Zwecke, Rechtsgrundlagen, Empfänger, etwaige internationale Datenübermittlungen und die erforderlichen Informationen nach DSGVO und TDDDG erneut geprüft; diese Datenschutzerklärung wird erforderlichenfalls vor der Aktivierung angepasst.

8. Cookies, lokale Speichertechniken und Einwilligungsverwaltung

WebsiteGarage.de unterscheidet zwischen technisch erforderlichen Speicher- oder Zugriffsvorgängen und optionalen Funktionen. Soweit eine Einwilligung erforderlich ist, wird die betreffende Funktion erst nach wirksamer Einwilligung aktiviert. Einwilligungen können jederzeit mit Wirkung für die Zukunft geändert oder widerrufen werden.

Für die Verwaltung und Dokumentation von Einwilligungen verwenden wir unseren selbst betriebenen Consent Hub. Der Consent Hub speichert im Browser die Informationen, die erforderlich sind, um die getroffene Auswahl zu speichern und umzusetzen. Dazu gehören insbesondere die aktuelle Entscheidung und eine pseudonyme Kennung, mit der zusammengehörige Einwilligungsereignisse technisch zugeordnet werden können. Kann die Einwilligungsdokumentation vorübergehend nicht an den Consent Hub übermittelt werden, kann sie bis zur erfolgreichen Übertragung lokal im Browser zwischengespeichert werden.

Für die serverseitige Einwilligungsdokumentation werden insbesondere die pseudonyme Einwilligungskennung, die getroffene Entscheidung und ihr Zeitpunkt, die Sprache, die Konfigurations- und Einwilligungsversion, die ausgewählten Dienste sowie Nachweise darüber gespeichert, welche Einwilligungsoberfläche und welche Informationen angezeigt wurden. Für diesen Zweck speichern wir keine vollständigen IP-Adressen, keinen User-Agent und keine Daten zur Bildung eines Geräte-Fingerprints. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO, soweit sie der Erfüllung gesetzlicher Nachweis- und Rechenschaftspflichten dient, und ergänzend auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der nachvollziehbaren Dokumentation und korrekten Umsetzung von Einwilligungen, Ablehnungen und Widerrufen.

Die Einwilligungsentscheidung wird im Browser standardmäßig 120 Tage gespeichert. Die pseudonyme Einwilligungskennung kann im lokalen Speicher des Browsers verbleiben, bis der Nutzer die für WebsiteGarage.de gespeicherten Websitedaten löscht. Für die serverseitige Einwilligungsdokumentation ist derzeit noch keine automatische Löschung nach einer festen Frist eingerichtet; eine feste Aufbewahrungs- und Löschregel ist vorgesehen.

Google Analytics 4 wird im Basic Consent Mode betrieben und bis zu einer wirksamen Einwilligung technisch blockiert. Vor der Einwilligung wird der Google-Analytics-Tag nicht geladen und es werden keine Messdaten an Google gesendet.

9. Google Analytics 4

WebsiteGarage.de verwendet Google Analytics 4 nur nach vorheriger Einwilligung zur freiwilligen Reichweiten- und Nutzungsanalyse. Anbieter für europäische Nutzer ist insbesondere Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; weitere Verarbeitung kann Gesellschaften des Google-Konzerns, insbesondere Google LLC in den USA, einbeziehen.

Nach Einwilligung können insbesondere Seitenaufrufe, URL und Seitentitel, Interaktionen und Ereignisse, Zeitpunkt und Dauer, Referrer, Browser- und Geräteinformationen, Sprache sowie grobe Standortinformationen verarbeitet werden. Zwecke sind Reichweitenmessung und die Verbesserung von Struktur, Inhalten und Benutzerführung. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

WebsiteGarage.de verwendet den Basic Consent Mode. Vor einer Einwilligung werden die Google-Analytics-Tags nicht geladen. Werbefunktionen, Google Signals, User-ID und user-provided data werden in der derzeitigen Konfiguration nicht eingesetzt. Die Aufbewahrungsdauer ist für Daten auf Nutzerebene auf 14 Monate und für Ereignisdaten auf 2 Monate eingestellt. Nach Angaben von Google betreffen diese Einstellungen die Aufbewahrung auf Nutzer- beziehungsweise Ereignisebene; standardmäßige aggregierte Berichte werden davon nicht erfasst.

Soweit Daten außerhalb des EWR verarbeitet werden, gelten Art. 44 ff. DSGVO. Google LLC erklärt die Teilnahme am EU-U.S. Data Privacy Framework; soweit dieses anwendbar ist, kann eine Übermittlung hierauf gestützt werden, andernfalls gelten die einschlägigen vertraglichen Transfermechanismen.

10. Kontakt, E-Mail und geschäftliche Kommunikation

Wenn Sie uns über ein Kontaktformular, per E-Mail oder über einen anderen angebotenen Kommunikationsweg kontaktieren, verarbeiten wir die übermittelten Daten zur Bearbeitung und Beantwortung des Anliegens und gegebenenfalls zur Vorbereitung oder Durchführung einer Vertragsbeziehung.

Verarbeitet werden können insbesondere Name, E-Mail-Adresse, Unternehmens- oder Organisationsbezug, Betreff, Nachrichteninhalt, Anhänge sowie technische Kommunikations- und Zustellinformationen. Inhalte aus dem Kontaktformular werden an unser E-Mail-System versendet und nicht zusätzlich als Formularnachricht in der WordPress-Datenbank gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen. Bei Beschäftigten, Vertretern und sonstigen Ansprechpartnern eines Geschäftskunden sowie bei sonstiger geschäftlicher Kommunikation erfolgt die Verarbeitung grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Anfragen ohne Vertragsbezug werden grundsätzlich sechs Monate nach Abschluss der Kommunikation gelöscht, sofern keine längere Aufbewahrung zu Nachweis- oder Rechtsverteidigungszwecken erforderlich ist.

11. E-Mail-Kommunikation mit Google Workspace

Für geschäftliche E-Mail-Kommunikation verwenden wir Google Workspace mit Gmail. Vertragspartner für Google Workspace bei einer Rechnungsadresse in Deutschland ist Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland.

Verarbeitet werden können insbesondere Absender- und Empfängeradressen, Betreff, Nachrichteninhalt, Anhänge sowie technische Zustell- und Kommunikationsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen. Bei Beschäftigten, Vertretern und sonstigen Ansprechpartnern eines Geschäftskunden sowie bei sonstiger geschäftlicher Kommunikation erfolgt die Verarbeitung grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Art. 6 Abs. 1 lit. c DSGVO gilt, soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen.

Für von der Google-Workspace-Datenregionen-Richtlinie erfasste primäre Gmail-Daten im Ruhezustand ist die Region „Europa“ festgelegt. Diese Einstellung bedeutet nicht, dass sämtliche Datenarten und Verarbeitungsvorgänge ausschließlich innerhalb der EU stattfinden. Für etwaige Drittlandverarbeitungen gelten die anwendbaren Regelungen des Google Data Processing Addendum und Art. 44 ff. DSGVO.

12. Live-Chat mit Crisp

WebsiteGarage.de verwendet den Live-Chat von Crisp im Total Privacy Mode. Die Chat-Sitzung wird erst initialisiert, wenn der Nutzer die Chatbox selbst öffnet und aktiv eine Unterhaltung startet.

Anbieter ist Crisp IM SAS, 2 Boulevard de Launay, 44100 Nantes, Frankreich. Je nach Nutzung können insbesondere IP-Adresse, Browser- und Geräteinformationen, Zeitpunkt, besuchte Seite, Chat-Inhalte, Name und E-Mail-Adresse soweit angegeben, übermittelte Dateien sowie technische Kommunikationsdaten verarbeitet werden.

Zwecke sind die Bereitstellung des aktiv verwendeten Chats, Bearbeitung von Anfragen, Kommunikation, Missbrauchs- und Spamabwehr sowie technische Stabilität. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen. Bei Beschäftigten, Vertretern und sonstigen Ansprechpartnern eines Geschäftskunden sowie bei sonstiger Kommunikation erfolgt die Verarbeitung grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Soweit nach dem aktiven Öffnen des Chats technisch erforderliche Informationen auf dem Endgerät gespeichert oder ausgelesen werden, erfolgt dies im erforderlichen Umfang nach § 25 Abs. 2 TDDDG.

Crisp erklärt, Kerndaten in der EU zu speichern; nach eigener Dokumentation können Relay-Server in den USA, im Vereinigten Königreich und in Singapur technische Verbindungslogs wie IP-Adresse, Verbindungszeitpunkt, User-Agent und Quellwebsite verarbeiten. Soweit hierfür eine Drittlandübermittlung stattfindet, gelten die im Crisp-Vertragswerk vorgesehenen Standardvertragsklauseln, soweit diese anwendbar sind. Reine Chat-Anfragen ohne Vertragsbezug werden grundsätzlich sechs Monate nach Abschluss der Kommunikation gelöscht. Vertragsbezogene Chat-Inhalte und zugehörige Kontaktinformationen werden nur so lange aufbewahrt, wie dies für Vertragsdurchführung, Dokumentation, gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Nicht mehr erforderliche Dateien, Anhänge und Kontaktprofile werden nach denselben Grundsätzen gelöscht.

13. Kundenkonto, Anmeldung und geschützte Funktionen

Für bestimmte Funktionen kann ein Kundenkonto erforderlich sein, insbesondere für gespeicherte Angebote oder Projekte, Briefings, Bestellungen, Vertragsunterlagen und geschützte projektbezogene Funktionen.

Verarbeitet werden können insbesondere Identifikations- und Kontaktdaten, E-Mail-Adresse, technische Konto-ID, Authentifizierungsdaten in geschützter Form, Login- und Sitzungsdaten, Sicherheits- und Protokolldaten sowie dem Konto zugeordnete Projekt-, Briefing-, Bestell- und Vertragsdaten.

Zwecke sind Bereitstellung und Absicherung des Kontos, Authentifizierung, Zuordnung gespeicherter Vorgänge, Schutz vor unberechtigtem Zugriff und Kommunikation. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit der Kontoinhaber selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf seine Anfrage erfolgen. Bei Konten von Beschäftigten, Vertretern oder sonstigen Ansprechpartnern eines Geschäftskunden erfolgt die Verarbeitung für Kontobereitstellung, Sicherheit und Zuordnung grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Kontodaten werden grundsätzlich für die Dauer des Kontos gespeichert; gesetzlich oder sachlich erforderliche Vertrags-, Abrechnungs- und Nachweisdaten können länger aufbewahrt werden.

14. Angebote, Projektbriefing, Bestellung und rechtliche Interaktionen

Vor und während einer Bestellung verarbeiten wir Angaben zur Konfiguration einer Leistung, zur Erstellung eines Projektbriefings, zur technischen Qualifikation oder zur Vorbereitung eines Angebots. Dazu können insbesondere Konto- und Kontaktdaten, Unternehmens- und Projektdaten, Briefing-Inhalte, technische Angaben zur Website oder Systemumgebung, Leistung/Paket, Qualifikationsantworten, Preis-, Konfigurations- und Bestelldaten gehören.

Zur Nachvollziehbarkeit rechtlich relevanter Vorgänge kann WebsiteGarage dokumentieren, welche Fassung eines rechtlichen Dokuments für einen konkreten Vorgang maßgeblich war und wann erforderliche Erklärungen, Akzeptanzen, Änderungsinformationen oder Widersprüche abgegeben beziehungsweise versendet wurden. Ein fehlender Widerspruch wird nicht als Einwilligung oder Akzeptanz behandelt, wenn der konkrete Vorgang lediglich eine Information mit Widerspruchsmöglichkeit vorsieht.

Zwecke sind Angebotserstellung, Qualifikation, Bestell- und Vertragsabwicklung, Nachweis und Rechtsverteidigung. Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen. Bei Beschäftigten, Vertretern oder sonstigen Ansprechpartnern eines Geschäftskunden erfolgt die Verarbeitung insbesondere auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Anbahnung, Durchführung, Organisation und Dokumentation der Geschäftsbeziehung. Art. 6 Abs. 1 lit. c DSGVO gilt, soweit gesetzliche Pflichten bestehen. Nicht abgeschlossene Konfigurations- und Briefing-Entwürfe werden grundsätzlich 30 Tage nach der letzten Aktivität gelöscht oder anonymisiert, sofern kein laufender Vorgang oder anderer Aufbewahrungsgrund besteht.

15. Datenschutzhinweise für Geschäftskunden, Interessenten und Ansprechpartner

Diese Hinweise betreffen natürliche Personen, deren personenbezogene Daten im Rahmen einer bestehenden oder angebahnten geschäftlichen Beziehung mit DND Solutions verarbeitet werden, insbesondere Einzelunternehmer, Geschäftsführer, Beschäftigte, Vertretungsberechtigte, Projektbeteiligte und sonstige Ansprechpartner.

Werden Daten unmittelbar bei der betroffenen Person erhoben, erfolgt die Information nach Art. 13 DSGVO bei der Erhebung. Werden geschäftliche Kontaktdaten von einem Geschäftskunden, einer anderen Kontaktperson desselben Unternehmens oder aus einer öffentlich zugänglichen geschäftlichen Quelle übernommen, können insbesondere Identifikationsdaten, geschäftliche Kontaktdaten, Unternehmenszugehörigkeit, Funktion oder Position sowie Kommunikations-, Projekt- oder Vertragsbezug verarbeitet werden.

Bei nicht unmittelbar erhobenen Daten stellen wir die nach Art. 14 DSGVO erforderlichen Informationen innerhalb einer angemessenen Frist, spätestens innerhalb eines Monats nach Erlangung der Daten, bereit. Werden die Daten zur Kommunikation verwendet, erfolgt die Information spätestens bei der ersten Mitteilung; bei beabsichtigter Offenlegung spätestens bei der ersten Offenlegung, soweit keine Ausnahme nach Art. 14 Abs. 5 DSGVO eingreift.

Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen. Bei Ansprechpartnern, Beschäftigten oder Vertretern eines Geschäftskunden erfolgt die Verarbeitung insbesondere auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur sachgerechten Anbahnung, Durchführung, Organisation und Dokumentation der geschäftlichen Beziehung. Gesetzliche Pflichten werden auf Art. 6 Abs. 1 lit. c DSGVO gestützt.

16. Erforderlichkeit von Angaben und manuelle Qualifikation

Angaben in Kontakt-, Projekt- und Bestellfunktionen sind grundsätzlich freiwillig, soweit sie nicht als erforderlich gekennzeichnet sind. Erforderlich gekennzeichnete Angaben können je nach Vorgang gesetzlich vorgeschrieben, vertraglich erforderlich oder für den Abschluss beziehungsweise die Durchführung eines Vertrags notwendig sein. Soweit eine gesetzliche Pflicht zur Angabe besteht, insbesondere bei steuer- oder rechnungsrelevanten Angaben, wird dies im jeweiligen Vorgang kenntlich gemacht. Ohne erforderliche Angaben kann die betreffende Funktion, Qualifikation, Angebotserstellung, Bestellung oder Vertragsleistung gegebenenfalls nicht durchgeführt werden.

Die technische Qualifikation wird derzeit nicht ausschließlich automatisiert entschieden. Bei qualifikationspflichtigen Leistungen werden insbesondere Website-URL und zugeordnetes Angebot beziehungsweise Paket einer manuellen Prüfung durch DND Solutions zugeführt. Die prüfende Person kann freigeben, mit erforderlichem Zusatzumfang freigeben, weitere Informationen anfordern oder die Standardleistung ablehnen; das System setzt dieses Ergebnis technisch um.

Nach der derzeitigen Ausgestaltung findet keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt, die gegenüber der betroffenen Person rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt.

17. Prüfung der Umsatzsteuer-Identifikationsnummer über VIES

Bei grenzüberschreitenden B2B-Vorgängen innerhalb der EU kann eine angegebene Umsatzsteuer-Identifikationsnummer über VIES geprüft werden, um die erforderliche umsatzsteuerliche Behandlung zu bestimmen und die Prüfung nachvollziehbar zu dokumentieren.

Übermittelt werden insbesondere die USt-IdNr., der zugehörige Mitgliedstaat beziehungsweise Länderpräfix und erforderliche Prüfangaben. Gespeichert werden insbesondere geprüfte USt-IdNr., Prüfstatus, Zeitpunkt, geprüftes Land und — soweit vom Dienst bereitgestellt — Anfrage- oder Referenzkennung; die vollständige Rohantwort wird nicht dauerhaft gespeichert.

Ist die Nummer ungültig, passt sie nicht zum angegebenen Land oder ist VIES vorübergehend nicht zuverlässig erreichbar, wird der automatisierte Checkout für die betreffende steuerliche Behandlung nicht freigegeben und der Vorgang manuell geprüft. Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die betroffene Person selbst Vertragspartei ist oder vorvertragliche Maßnahmen auf ihre Anfrage erfolgen; Art. 6 Abs. 1 lit. c DSGVO gilt für steuerrechtliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für die nachvollziehbare Prüfung und Missbrauchsvermeidung, soweit einschlägig. Gespeicherte Prüfnachweise werden zusammen mit den zugehörigen Bestell-, Vertrags- und Steuerunterlagen nach den jeweils für diese Unterlagen geltenden Aufbewahrungsfristen aufbewahrt.

18. Zahlungsabwicklung mit Stripe

Für Online-Zahlungen setzen wir Stripe ein. Verarbeitet werden können insbesondere Name, geschäftliche Kontakt- und Rechnungsdaten, Zahlungsbetrag, Währung, Bestell- und Transaktionsdaten, technische Metadaten und — abhängig von Zahlungsmethode und Integration — Zahlungsinstrumentdaten.

Soweit die Integration dies vorsieht, werden sensible Zahlungsinstrumentdaten unmittelbar durch Stripe erhoben; DND Solutions erhält insbesondere Zahlungsstatus, Transaktionsreferenzen und abrechnungsrelevante Informationen. Zwecke sind Zahlungsabwicklung, Rückerstattung, Betrugs- und Missbrauchsprävention, Rückbelastungen und gesetzliche Pflichten. Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die betroffene Person selbst Vertragspartei ist; bei Beschäftigten, Vertretern oder sonstigen Ansprechpartnern eines Geschäftskunden erfolgt die erforderliche Zuordnung und Zahlungsabwicklung grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit keine speziellere Rechtsgrundlage gilt. Art. 6 Abs. 1 lit. c DSGVO gilt für gesetzliche Zahlungs-, Buchführungs- oder Nachweispflichten.

Für das von DND Solutions in Deutschland geführte Stripe-Konto ist nach dem derzeit geltenden Stripe Data Processing Agreement Stripe Payments Europe, Limited, Irland, Vertragspartei des Data Processing Addendum. Stripe verarbeitet personenbezogene Daten je nach konkret eingesetztem Dienst teilweise als Auftragsverarbeiter und teilweise als eigener Verantwortlicher; für bestimmte von Stripe verantwortete Dienste können Stripe-Gesellschaften außerdem als gemeinsame Verantwortliche einbezogen sein. Welche Rolle im Einzelfall gilt, richtet sich nach dem konkreten Zahlungsdienst und der Stripe-Dokumentation. Für Drittlandübermittlungen gelten Art. 44 ff. DSGVO; Stripe nimmt am EU-U.S. Data Privacy Framework teil und sieht zusätzlich Standardvertragsklauseln und weitere Transfermechanismen vor, soweit diese anwendbar sind. Von DND Solutions erhaltene Zahlungs-, Transaktions- und Abrechnungsinformationen werden nach den in Abschnitt 21 beschriebenen Vertrags-, Buchungs- und Nachweisfristen aufbewahrt; soweit Stripe als eigener Verantwortlicher handelt, richtet sich die dortige Aufbewahrung zusätzlich nach den für Stripe geltenden eigenen gesetzlichen und regulatorischen Pflichten.

19. Buchhaltung, Rechnungswesen und gesetzliche Dokumentation

Zur Buchführung, Rechnungsstellung, Zahlungszuordnung und Erfüllung steuerlicher oder handelsrechtlicher Pflichten verarbeiten wir erforderliche Kunden-, Vertrags-, Rechnungs- und Zahlungsdaten. Rechtsgrundlage ist insbesondere Art. 6 Abs. 1 lit. c DSGVO und ergänzend Art. 6 Abs. 1 lit. f DSGVO.

Für Buchhaltung und Rechnungswesen setzen wir Lexware Office ein. Auftragsverarbeiter ist nach der aktuell bereitgestellten Vereinbarung die Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, Deutschland. Weitere Empfänger können insbesondere Steuerberater, Banken und zuständige Behörden sein, soweit dies erforderlich ist.

20. Empfänger, Dienstleister und internationale Datenübermittlungen

Personenbezogene Daten werden Empfängern nur zugänglich gemacht, soweit dies für den jeweiligen Zweck erforderlich ist oder eine andere Rechtsgrundlage dies erlaubt. Empfängerkategorien können insbesondere Hosting-, Infrastruktur-, Sicherheits-, IT-, Zahlungs-, Bank-, E-Mail-, Kommunikations-, Buchhaltungs- und Verwaltungsdienstleister, berufliche Berater sowie zuständige Behörden sein.

Soweit personenbezogene Daten außerhalb der EU oder des EWR übermittelt oder dort verarbeitet werden, erfolgt dies nur unter Beachtung der Art. 44 ff. DSGVO. Je nach Fall kommen insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission, das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln mit gegebenenfalls zusätzlichen Schutzmaßnahmen in Betracht. Informationen zu den jeweils maßgeblichen Transfergarantien und, soweit anwendbar, eine Kopie der einschlägigen Garantien können unter [email protected] angefordert werden.

Die Liste der Unterauftragsverarbeiter, die DND Solutions bei einer Verarbeitung im Auftrag eines Kunden einsetzt, gehört zur jeweiligen AVV-Beziehung und wird gesondert bereitgestellt.

21. Speicherdauer, Aufbewahrungs- und Löschfristen

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche, vertragliche oder sachlich erforderliche Gründe eine weitere Speicherung rechtfertigen. Für die derzeit eingesetzten Verarbeitungsvorgänge gelten insbesondere:

Anfragen ohne Vertragsbezug: grundsätzlich 6 Monate nach Abschluss der Kommunikation.
Nicht abgeschlossene Angebotskonfigurationen und Projektbriefings: grundsätzlich 30 Tage nach letzter Aktivität.
Kundenkontodaten: grundsätzlich für die Dauer des Kontos; Vertrags-, Bestell-, Abrechnungs- und Nachweisdaten gegebenenfalls länger nach dem jeweiligen Aufbewahrungsgrund.
Vertrags- und projektbezogene Daten: für die Dauer der Vertrags- oder Projektbeziehung und anschließend, soweit gesetzliche Aufbewahrung oder Rechtsansprüche dies erfordern.
Rechnungen und sonstige Buchungsbelege: grundsätzlich 8 Jahre, soweit die gesetzlichen Aufbewahrungspflichten nach § 147 Abs. 3 AO beziehungsweise § 14b UStG eingreifen.
Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse und vergleichbare Unterlagen: 10 Jahre, soweit gesetzlich erforderlich.
Handels- und Geschäftsbriefe einschließlich entsprechender geschäftlicher E-Mails: grundsätzlich 6 Jahre, soweit eine gesetzliche Aufbewahrungspflicht besteht.
Server-Logs: regulär 14 Tage.
Sicherheitsrelevante Server-Protokolldaten: bis zu 90 Tage; bei einem konkreten Sicherheitsvorfall erforderlichenfalls länger.
Forge12-Sicherheitsprotokoll: 90 Tage.
Forge12 IP-Sperren: befristete Sperren bis zu ihrem Ablauf; manuell gesetzte Sperren bis zu ihrer Aufhebung.
Forge12 Live-Zugriffe: 24 Stunden.
Forge12 Anfragebegrenzung: nur bis zum Ablauf des jeweiligen Zeitfensters.
Forge12 Prüf- und Befunddaten: bis der Befund bei einer erneuten Prüfung nicht mehr festgestellt wird oder die betroffene Datei beziehungsweise der Datensatz bearbeitet wurde.
Google Analytics 4: Daten auf Nutzerebene 14 Monate; Ereignisdaten 2 Monate. Standardmäßige aggregierte Berichte werden von diesen Einstellungen nach Angaben von Google nicht erfasst.
Einwilligungsdokumentation im Consent Hub: derzeit ist noch keine automatische Löschung nach einer festen Frist eingerichtet; eine feste Aufbewahrungs- und Löschregel ist vorgesehen.
Reine Crisp-Chat-Anfragen ohne Vertragsbezug: grundsätzlich 6 Monate nach Abschluss der Kommunikation; vertrags- oder nachweisrelevante Inhalte entsprechend dem jeweils einschlägigen Aufbewahrungsgrund.
VIES-Prüfnachweise: zusammen mit den zugehörigen Bestell-, Vertrags- und Steuerunterlagen nach deren jeweils geltenden Aufbewahrungsfristen.
Zahlungs-, Transaktions- und Abrechnungsinformationen bei DND Solutions: entsprechend den einschlägigen Vertrags-, Buchungs- und Nachweisfristen.
Datensicherungen: grundsätzlich 30 Tage rollierend.

Während einer gesetzlichen oder sachlich erforderlichen weiteren Aufbewahrung wird die Verarbeitung auf den verbleibenden Zweck beschränkt, soweit dies möglich und erforderlich ist.

22. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO, Datenübertragbarkeit nach Art. 20 DSGVO und Widerspruch nach Art. 21 DSGVO.

Eine erteilte Einwilligung kann nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden. Der Widerruf berührt die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung nicht. Betroffene Personen haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Besonderer Hinweis zum Widerspruchsrecht

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben betroffene Personen aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit das Recht, gegen diese Verarbeitung Widerspruch einzulegen. Wir verarbeiten die betreffenden personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für DND Solutions ist insbesondere zuständig:

Der Landesbeauftragte für den Datenschutz Niedersachsen

Prinzenstraße 5

30159 Hannover

Deutschland

E-Mail: [email protected]

23. Externe Links und Onlinepräsenzen

WebsiteGarage.de kann auf externe Websites oder Onlinepräsenzen verlinken. Beim bloßen Anzeigen eines gewöhnlichen Links werden noch keine Daten an den verlinkten Anbieter übermittelt; erst beim Aufruf verarbeitet der externe Anbieter Daten in eigener Verantwortung.

In der derzeitigen Konfiguration verwenden wir keine extern eingebetteten Social-Media-Feeds, Video-, Karten- oder vergleichbaren Drittanbieter-Inhalte, die bereits beim Laden der Seite eine Verbindung zum externen Anbieter herstellen. Eine angebotene Teilen-Funktion verwendet die native Web-Share-Funktion des Browsers beziehungsweise Betriebssystems.

24. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Rechtslage, eingesetzte Dienste, tatsächliche Verarbeitungsvorgänge oder technische Konfigurationen ändern. Maßgeblich ist die jeweils veröffentlichte Fassung. Beabsichtigen wir, personenbezogene Daten für einen anderen Zweck weiterzuverarbeiten als denjenigen, für den sie erhoben wurden, informieren wir die betroffene Person vor dieser Weiterverarbeitung über den neuen Zweck und die hierfür maßgeblichen weiteren Informationen.

Eine Änderung dieser Datenschutzerklärung wird nicht als Zustimmung zu einer neuen Verarbeitung behandelt. Erfordert eine neue oder geänderte Verarbeitung eine Einwilligung oder andere gesonderte Erklärung, wird diese unabhängig von der bloßen Veröffentlichung einer neuen Fassung eingeholt.