Datenschutzerklärung

2. Hosting und technische Bereitstellung

Diese Website wird über Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, bereitgestellt. Bei jedem Seitenaufruf verarbeitet die Hosting-Infrastruktur technisch erforderliche Verbindungsdaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browsertyp, Betriebssystem sowie Status- und Fehlerdaten gehören.

Die Verarbeitung dient der sicheren, stabilen und effizienten Bereitstellung der Website sowie der Erkennung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und störungsfreien Bereitstellung unseres Internetangebots. Protokolldaten werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und Sicherheitszwecke erforderlich ist; anschließend werden sie gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungsgründe entgegenstehen.

Vercel kann Daten auch in den USA und weiteren Drittländern verarbeiten. Nach Angaben von Vercel werden hierfür – abhängig vom Verarbeitungsvorgang – insbesondere der Angemessenheitsbeschluss zum EU-US Data Privacy Framework und die Standardvertragsklauseln der Europäischen Kommission eingesetzt. Weitere Informationen finden Sie in der Datenschutzerklärung und im Data Processing Addendum von Vercel.

3. Verschlüsselte Übertragung

Die Website wird über TLS/HTTPS ausgeliefert. Dadurch werden übertragene Inhalte während des Transports gegen unbefugtes Mitlesen und Veränderungen geschützt. Eine absolute Sicherheit elektronischer Übertragungswege kann dennoch nicht garantiert werden.

4. Cookies, Local Storage und ähnliche Technologien

Externe Karten, Videos und Social-Media-Plugins werden nicht automatisch geladen. Optionale Dienste laden wir erst nach Ihrer ausdrücklichen Einwilligung: Umami (ohne Cookies) und Google Analytics 4 (mit den nachfolgend beschriebenen Erstanbieter-Cookies) nach Ihrer Einwilligung in die Statistik, das Google-Tag für Google Ads nach Ihrer Einwilligung in die Anzeigenmessung (Ziffer 6a). Ohne die jeweilige Einwilligung wird das betreffende Script nicht angefordert, und es werden keine Daten an diese Dienste übermittelt. Mit Ihrer Einwilligung in die Anzeigenmessung können Cookies zur Zuordnung von Anzeigenklicks gesetzt werden, und Google kann die Daten auch für personalisierte Werbung einschließlich Remarketing nutzen.

Damit Ihre ausdrücklich gewählte Datenschutzeinstellung respektiert wird und der Hinweis geschlossen bleibt, speichern wir den technisch notwendigen Local-Storage-Eintrag wh_privacy_choice in Ihrem Browser. Diese Speicherung erfolgt gemäß § 25 Abs. 2 Nr. 2 TDDDG. Soweit dabei ein Personenbezug entstehen kann, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer datenschutzfreundlichen und nutzerfreundlichen Bereitstellung der Website. Google-Cookies entstehen ausschließlich nach Ihrer Einwilligung in die jeweilige Kategorie.

Haben Sie in die Anzeigenmessung eingewilligt und gelangen Sie über eine Google-Anzeige auf unsere Website, legt unser eigener Websitecode die Google-Klick-Kennung aus der Einstiegsadresse im Sitzungsspeicher (sessionStorage) dieses Browser-Tabs ab, damit sie mit einer späteren Anfrage übermittelt werden kann. Ohne diese Einwilligung speichern wir die Kennung nicht; bei Ablehnung, Widerruf oder Zurücksetzen der Auswahl entfernen wir sie. Sie wird nicht an Statistikdienste weitergegeben und vom Browser spätestens beim Schließen des Tabs gelöscht. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); Einzelheiten beschreiben wir in Ziffer 6a.

Sie können die gespeicherte Auswahl jederzeit über Datenschutzeinstellungen öffnen einsehen, ändern oder zurücksetzen. Umami und Google Analytics werden erst nach einer aktiven Zustimmung aktiviert; das Google-Tag für Google Ads und dessen Cookies erst nach Ihrer Einwilligung in die Anzeigenmessung.

5. Selbst gehostete Reichweitenmessung mit Umami

Wenn Sie im Datenschutzhinweis „Alle akzeptieren“ auswählen oder die Statistik in den individuellen Einstellungen aktivieren und speichern, laden wir das Umami-Script von https://a.dovare.de/script.js. Umami wird für uns über eine selbst gehostete Instanz unter a.dovare.de betrieben; Umami Cloud wird nicht verwendet. Ohne Ihre Zustimmung wird das Script nicht angefordert und es werden keine Statistikdaten an die Umami-Instanz gesendet.

Wir verwenden Umami, um Reichweite und technische Nutzung unserer Website zu verstehen und Inhalte zu verbessern. Verarbeitet werden insbesondere die aufgerufene Seite und ihr Titel, Zeitpunkt, verweisende Seite, Browser und Browsersprache, Betriebssystem, Gerätetyp, Bildschirmgröße sowie das aus der IP-Adresse abgeleitete Herkunftsland. Suchparameter und URL-Fragmente schließen wir technisch von der Erfassung aus. Zusätzlich erfassen wir nach Einwilligung als eigene Ereignisse, ob ein Telefon- oder E-Mail-Link angeklickt beziehungsweise eine gültige Projektanfrage dauerhaft gespeichert wurde. Zusätzlich messen wir Klicks auf Anfrage-Links, den Beginn einer Formulareingabe und technische Übermittlungsfehler, jedoch keine einzelnen Eingaben oder Fehlerdetails. Inhalte, Namen, Telefonnummern, E-Mail-Adressen und Freitexte aus Kontaktformularen werden nicht an Umami übermittelt; individuelle Nutzerkennungen setzen wir nicht ein.

Umami setzt keine Cookies. Zur Bildung einer wiederkehrenden, nicht websiteübergreifenden Sitzung verarbeitet Umami nach seiner technischen Dokumentation einen Hash aus IP-Adresse, User-Agent und Website-ID. Die IP-Adresse fällt außerdem beim Abruf des Scripts und bei der Übermittlung der Messdaten technisch am Server an. Eine Wiedererkennung über andere Websites hinweg und die Bildung von Werbeprofilen finden nicht statt.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und – soweit § 25 TDDDG auf den konkreten Verarbeitungsschritt anwendbar ist – § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und für die Nutzung der Website nicht erforderlich. Sie können sie jederzeit über Datenschutzeinstellungen öffnen mit Wirkung für die Zukunft widerrufen. Nach dem Widerruf wird Umami auf weiteren Seitenaufrufen nicht mehr geladen.

Die Statistikdaten werden ausschließlich in der selbst gehosteten Instanz verarbeitet und nicht an Umami Software, Inc. oder Umami Cloud übermittelt. Zugriff erhalten nur befugte Personen sowie der technische Betreiber und Hostinganbieter der Instanz, soweit dies für den Betrieb erforderlich ist. Sitzungsbezogene Rohdaten werden spätestens nach zwölf Monaten gelöscht oder so aggregiert, dass sie keiner einzelnen Sitzung mehr zugeordnet werden können.

6. Google Analytics 4

Wenn Sie der Statistik zustimmen, verwenden wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), mit der Mess-ID G-FYHW9KX8TR. Erst nach Ihrer Statistik-Einwilligung aktivieren wir Google Analytics und übermitteln Messdaten an Google-Analytics-Endpunkte. Die von Google Analytics und Google Ads gemeinsam genutzte Google-Tag-Bibliothek von https://www.googletagmanager.com wird erst geladen, wenn Sie der Statistik oder der Anzeigenmessung zugestimmt haben; eine Einwilligung nur in die Anzeigenmessung aktiviert keine Google-Analytics-Erfassung. Ohne Statistik-Einwilligung konfigurieren wir Google Analytics nicht und senden keine Analytics-Ereignisse.

Google Analytics hilft uns zu verstehen, wie unsere Website genutzt wird. Verarbeitet werden insbesondere aufgerufene Seiten und Seitentitel, Zeitpunkt, verweisende Seite, Interaktionen, Browser- und Sprachinformationen, Betriebssystem, Gerätetyp, Bildschirmauflösung, ungefähre geografische Angaben sowie pseudonyme Nutzer- und Sitzungskennungen. Nach Einwilligung erfassen wir Telefon- und E-Mail-Linkklicks als lead_phone_click beziehungsweise lead_email_click. Diese Klicks belegen weder ein geführtes Gespräch noch eine versendete E-Mail. Das Ereignis generate_lead wird nach Einwilligung nur erfasst, wenn eine gültige Formularanfrage dauerhaft gespeichert wurde. Es belegt noch keinen Auftrag. Die Ereignisse request_cta_click, request_form_start und request_form_error erfassen Aufruf, Beginn und technische Übermittlungsfehler des Anfragewegs ohne Formularinhalte. Inhalte, Namen, Telefonnummern, E-Mail-Adressen und Freitexte aus Kontaktformularen sowie eigene User-IDs übermitteln wir nicht. Google verwendet die IP-Adresse technisch zur Übertragung und zur Ableitung ungefährer Standortinformationen. Nach Angaben von Google werden IP-Adressen von Nutzern aus der EU vor der Protokollierung verworfen und weder protokolliert noch gespeichert.

Google Analytics setzt nach Ihrer Einwilligung insbesondere die Erstanbieter-Cookies _ga und _ga_FYHW9KX8TR. Wir begrenzen ihre Laufzeit tag-seitig auf 180 Tage ab dem ersten Setzen und verlängern sie nicht bei weiteren Seitenaufrufen; Browser können diese Dauer weiter verkürzen. Nutzer- und ereignisbezogene Daten können in einer Standard-Property abhängig von der dort gewählten Aufbewahrungseinstellung zwei oder 14 Monate vorgehalten werden. Diese Einstellung wirkt sich nach Angaben von Google nicht auf aggregierte Standardberichte aus.

Vor der Initialisierung bereinigt unser Websitecode die an Google Analytics übergebene Seiten- und Referrer-Adresse auf Ursprung und Pfad. Suchparameter und URL-Fragmente werden dabei entfernt. Auch unsere eigenen Anfrage- und Kontaktereignisse enthalten keine Suchparameter oder URL-Fragmente.

Für Google Analytics deaktivieren wir Google Signals und Signale zur Anzeigenpersonalisierung; Google Analytics wird auf dieser Website nicht für Remarketing oder personalisierte Werbung eingesetzt. Wir verwenden den Google Consent Mode in der Variante „Basic“: Zu Beginn jedes Seitenaufrufs sind alle Einwilligungssignale (analytics_storage, ad_storage, ad_user_data und ad_personalization) auf „abgelehnt“ gesetzt. Ihre Statistik-Einwilligung gibt ausschließlich analytics_storage frei. ad_storage, ad_user_data und ad_personalization werden nur mit Ihrer gesonderten Einwilligung in die Anzeigenmessung freigegeben (Ziffer 6a); die Statistikentscheidung allein erteilt diese Einwilligung nicht.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und für die Nutzung der Website nicht erforderlich. Sie können sie jederzeit über Datenschutzeinstellungen öffnen mit Wirkung für die Zukunft widerrufen. Dabei setzen wir das Consent-Signal auf Ablehnung, deaktivieren weitere Analytics-Ereignisse und löschen erreichbare _ga-Cookies. Der Widerruf gilt im aktuellen und in anderen bereits geöffneten Tabs. Begonnene Formulare bleiben ohne automatischen Neustart erhalten; bei folgenden Seitenaufrufen werden die abgewählten Dienste nicht mehr geladen. Bereits vor dem Widerruf übermittelte Daten werden dadurch nicht zurückgerufen.

Für Google Analytics setzen wir Google als Auftragsverarbeiter ein (Art. 28 DSGVO); maßgeblich sind die unten verlinkten Google Ads Data Processing Terms. Google kann Daten auch durch verbundene Unternehmen und Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Google nennt hierfür je nach Verarbeitung insbesondere das EU-US Data Privacy Framework und die Standardvertragsklauseln der Europäischen Kommission. Weitere Informationen finden Sie in den Google Ads Data Processing Terms, den Informationen zu internationalen Datentransfers und der Datenschutzerklärung von Google.

6a. Anzeigenmessung und Werbung mit Google Ads

Wir nutzen Google Ads der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), um den Erfolg unserer Google-Anzeigen zu messen, Besuche und Anfragen einem vorangegangenen Anzeigenklick zuzuordnen und Werbung zu personalisieren (Remarketing). Dafür setzen wir den Google Consent Mode in der Variante „Basic“ ein: Das Google-Tag AW-18442630176 wird erst geladen, nachdem Sie in die Kategorie „Anzeigenmessung & Werbung mit Google Ads“ eingewilligt haben, über „Alle akzeptieren“ oder in den individuellen Einstellungen. Ohne diese Einwilligung wird das Google-Tag für Google Ads nicht angefordert, es werden keine Cookies für Google Ads gesetzt oder ausgelesen, und es werden keine Daten an Google Ads übermittelt.

Mit Ihrer Einwilligung setzen wir ad_storage, ad_user_data und ad_personalization auf „erteilt“ und laden das Google-Tag. Google kann dann Cookies wie _gcl_au und _gcl_aw setzen und auslesen, Besuche und Conversions Anzeigenklicks zuordnen und die Daten auch für personalisierte Werbung einschließlich Remarketing nutzen, also für Anzeigen an Personen, die unsere Website bereits besucht haben. Verarbeitet werden können insbesondere Anzeigenklick-Kennungen, aufgerufene Seiten, Zeitpunkte, IP-Adresse, Browser- und Geräteinformationen sowie pseudonyme Cookie-Kennungen. Aus der von unserem Code übergebenen Seitenadresse entfernen wir Suchparameter und URL-Fragmente mit Ausnahme der Google-Anzeigenklick-Parameter (etwa gclid, gbraid und wbraid); die verweisende Adresse kürzen wir auf Ursprung und Pfad. Google Signals und erweiterte Conversions (auch mit gehashten Kontaktdaten) setzen wir nicht ein.

Conversion „Lead-Formular senden“: Haben Sie in die Anzeigenmessung eingewilligt, übergeben wir dem Google-Tag nach einer dauerhaft gespeicherten, gültigen und nicht als Spam erkannten Anfrage die Conversion „Lead-Formular senden“. Sie enthält eine zufällige, pro Anfrage gleichbleibende Transaktionskennung zur Vermeidung doppelter Zählungen. Formularinhalte, Namen, Telefonnummern, E-Mail-Adressen oder Umsatzwerte übermitteln wir dabei nicht. Ohne Ihre Einwilligung senden wir keine Conversion an Google.

Google-Klick-Kennung bei Anfragen: Gelangen Sie über eine Google-Anzeige auf unsere Website, enthält die Einstiegsadresse eine Klick-Kennung (gclid, gbraid oder wbraid). Nur wenn Sie in die Anzeigenmessung eingewilligt haben, liest unser eigener Websitecode diese Kennung aus, prüft ihr Format und legt sie im Sitzungsspeicher dieses Browser-Tabs ab (wh_click_ids, siehe Ziffer 4). Senden Sie dann eine Anfrage, übermitteln wir die Kennung zusammen mit der Anfrage und speichern sie in unserer Anfrageverwaltung (Ziffer 7a). So können wir intern auswerten, welche Anfragen auf welche Anzeigen zurückgehen. Ohne Einwilligung wird die Kennung weder gespeichert noch mit der Anfrage übermittelt; eine dennoch mitgesendete Kennung verwirft unser Server. Die mit Ihrer Anfrage gespeicherte Kennung übermitteln wir nicht an Google, verwenden sie nicht in Statistik-Ereignissen und nehmen sie nicht in die interne E-Mail-Benachrichtigung auf. Sie wird zusammen mit der Anfrage gelöscht (Ziffer 7a).

Rechtsgrundlage für das Laden des Google-Tags und das Speichern und Auslesen von Informationen in Ihrem Endgerät (Cookies und Klick-Kennung) ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG. Die damit verbundene Verarbeitung personenbezogener Daten, einschließlich Conversion-Messung, personalisierter Werbung und der Speicherung der Klick-Kennung mit Ihrer Anfrage, beruht auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig und für die Nutzung der Website und des Anfrageformulars nicht erforderlich.

Sie können Ihre Einwilligung unabhängig von der Statistik jederzeit über die Datenschutzeinstellungen mit Wirkung für die Zukunft widerrufen. Wir setzen ad_storage, ad_user_data und ad_personalization dann auf „abgelehnt“, senden keine Conversions mehr und löschen erreichbare _gcl_*-Cookies unserer Domain sowie die Klick-Kennung im Sitzungsspeicher. Bei folgenden Seitenaufrufen wird das Google-Tag für Google Ads nicht mehr geladen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt; bereits übermittelte Daten werden dadurch nicht zurückgerufen. Soll eine bereits mit einer Anfrage gespeicherte Klick-Kennung gelöscht werden, genügt eine Nachricht an info@westfalenhelp.de. Auf anderen Domains gesetzte Google-Cookies können Sie über Ihre Browser-Einstellungen verwalten. Fehlende oder widerrufene Einwilligung und ein blockiertes Google-Script verhindern Ihre Anfrage nicht.

Rolle von Google: Bei Google Ads verarbeitet Google die über das Google-Tag erhobenen Daten als eigenständiger Verantwortlicher, insbesondere für die Zuordnung und Messung von Conversions und für personalisierte Werbung. Soweit wir gemeinsam mit Google über die Erhebung der Daten auf unserer Website und deren Übermittlung an Google über das Google-Tag entscheiden, sind wir insoweit gemeinsam mit Google verantwortlich (Art. 26 DSGVO); für die anschließende Verarbeitung bei Google ist allein Google verantwortlich. Für Google Ads gelten die Google Ads Controller-Controller Data Protection Terms. Ihre Rechte können Sie uns gegenüber (Ziffern 11 und 11a) und gegenüber Google geltend machen.

Google kann Daten auch durch verbundene Unternehmen und Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Für Übermittlungen in die USA stützt sich Google nach eigenen Angaben auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework sowie auf Standardvertragsklauseln der Europäischen Kommission. Weitere Informationen finden Sie in der Datenschutzerklärung von Google, den Informationen zu internationalen Datentransfers sowie in Googles Übersicht der Werbe- und Mess-Cookies. Die Statistik und die Anzeigenmessung sind unabhängig von der Bearbeitung Ihrer Anfrage.

7. Kontaktaufnahme und Einsatzanfrage

Wenn Sie uns anrufen, eine E-Mail senden oder das Anfrageformular verwenden, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens. Im kurzen Formular benötigen wir Anliegen, Postleitzahl des Projekts, Name und mindestens Telefonnummer oder E-Mail-Adresse. Eine Beschreibung ist optional. Ein über den Seitenaufruf vorausgewählter Projektort kann ebenfalls übermittelt werden. Haben Sie in die Anzeigenmessung eingewilligt und kam Ihr Besuch über eine Google-Anzeige, wird außerdem die Google-Klick-Kennung aus der Einstiegsadresse mitgesendet (Ziffer 6a). Zusätzliche Angaben aus bestehenden Formularanbindungen können Dringlichkeit, Objektart und bevorzugten Kontaktweg umfassen.

Pflichtangaben sind erforderlich, um Ihre Anfrage zuzuordnen und zu beantworten. Ohne diese Angaben kann die digitale Anfrage nicht versendet werden; Sie können uns alternativ telefonisch kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen beziehungsweise die Vertragsdurchführung. Ergänzend erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit dies für eine sichere, nachvollziehbare und effiziente Kommunikation erforderlich ist.

Zur Missbrauchsabwehr verarbeitet der Endpunkt außerdem Formularzeitpunkt, IP-Adresse, Herkunftsinformationen und technische Anfragedaten. Das lokale Rate-Limit verwendet die IP-Adresse innerhalb eines Zeitfensters von zehn Minuten und verwirft den Eintrag spätestens nach Ablauf dieses Fensters beziehungsweise mit dem Ende der jeweiligen Serverinstanz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt im Schutz des Formulars und unserer Kommunikationssysteme vor automatisiertem Missbrauch.

7a. Dauerhafte Anfrageverwaltung und interne Zählung

Jede aktiv abgeschickte, gültige und nicht als Spam erkannte Anfrage wird unabhängig von Ihrer Cookie- oder Tracking-Auswahl serverseitig in unserer geschützten Leadverwaltung gespeichert und intern als eingegangene Anfrage gezählt. Erst nach erfolgreicher Speicherung bestätigen wir den Eingang. Diese Verarbeitung dient der Bearbeitung, Dokumentation, Missbrauchsabwehr und betrieblichen Auswertung Ihrer Anfrage. Dafür setzen wir keine zusätzlichen Analyse-Cookies, Besucherprofile, Fingerprints oder geräteübergreifenden Kennungen ein. Das Formular funktioniert auch bei ignoriertem Banner, Ablehnung, Widerruf oder deaktiviertem JavaScript.

Gespeichert werden die unter Ziffer 7 beschriebenen Projekt- und Kontaktdaten sowie Erstellungszeitpunkt, angefragte Leistung, Bearbeitungsstatus, zufällige Anfrage-, Übermittlungs- und Transaktionskennungen, Ihre Auswahl zur Anzeigenmessung zum Zeitpunkt der Anfrage, technische Benachrichtigungs- und Messzustände sowie – nur mit Ihrer Einwilligung in die Anzeigenmessung – die Google-Klick-Kennung (gclid, gbraid oder wbraid, Ziffer 6a). Die zufällige Übermittlungskennung gehört ausschließlich zu dieser Formularinstanz und verhindert doppelte Speicherung bei Wiederholungen. Sie dient nicht der Wiedererkennung von Besuchern. Die Herkunft bleibt „unknown“, wenn sie nicht zuverlässig feststellbar ist; eine Anfrage wird nicht pauschal Google Ads zugeschrieben. Ein technischer Google-Aufruf ist kein Nachweis einer bei Google gutgeschriebenen Conversion.

Kontaktdaten und Freitexte bleiben im geschützten Anfragevorgang und der erforderlichen E-Mail-Benachrichtigung. Interne Auswertungen zählen gespeicherte Vorgänge nach Tag, Leistung und Status ohne Kontaktinhalte. Rechtsgrundlage für die Anfragebearbeitung ist Art. 6 Abs. 1 lit. b DSGVO, bei sonstiger Kontaktaufnahme Art. 6 Abs. 1 lit. f DSGVO. Dokumentation, Missbrauchsabwehr und datensparsame interne Erfolgsauswertung beruhen auf Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind eine verlässliche Bearbeitung, der Schutz vor Doppelanfragen und Missbrauch sowie die Planung unserer betrieblichen Kapazitäten.

Zugriff erhalten ausschließlich zur Anfragebearbeitung berechtigte Personen bei Westfalen Help und technisch erforderliche Auftragsverarbeiter. Hosting und E-Mail-Versand sind in Ziffern 2 und 8 beschrieben. Die Datenbank wird durch Neon (Datenbankdienst, über Vercel eingebunden) betrieben. Dabei können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Informationen zu den vertraglichen Garantien einschließlich Standardvertragsklauseln enthält der Anbieter unter https://neon.com/dpa. Datenschutzhinweise des Datenbankanbieters.

Wir speichern Anfragen, solange sie für die Bearbeitung, die Abstimmung eines möglichen Auftrags und etwaige Rückfragen erforderlich sind. Führt eine Anfrage zu einem Auftrag, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (siehe Ziffer 10). Anfragen ohne Folgeauftrag löschen wir, sobald sie hierfür nicht mehr benötigt werden.

Die Speicherung und interne Zählung sind unabhängig von optionaler Statistik und Werbung. GA4 und Umami erhalten ein Formularereignis ausschließlich nach Statistik-Einwilligung. Die Google-Ads-Conversion „Lead-Formular senden“ wird nur mit Ihrer Einwilligung in die Anzeigenmessung an Google übermittelt (Ziffer 6a). Ein Telefonklick wird getrennt als Klick erfasst und gilt weder als Formularanfrage noch als geführtes Telefonat oder qualifizierter Lead.

8. Technischer E-Mail-Versand

Für die technische Zustellung der Formularanfrage verwenden wir Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Verarbeitet werden insbesondere Absender- und Empfängeradresse, Nachrichteninhalt sowie technische Versand- und Zustelldaten. Die Verarbeitung erfolgt als Teil der Bearbeitung Ihrer Anfrage gemäß Art. 6 Abs. 1 lit. b DSGVO und auf Grundlage unseres berechtigten Interesses an einer zuverlässigen Zustellung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Resend ist als Auftragsverarbeiter gemäß Art. 28 DSGVO vertraglich gebunden. Bei einer Übermittlung in die USA oder andere Drittländer werden nach Angaben des Anbieters die im Data Processing Addendum einbezogenen Standardvertragsklauseln eingesetzt. Weitere Informationen: Resend Data Processing Addendum und Resend Privacy Policy.

8a. Westfalen Help App und Kundenportal

Diese Erklärung gilt auch für die Westfalen Help App und das zugehörige Kunden- und Verwaltungsportal. Die App unterstützt die Meldung und Bearbeitung von Schäden sowie die Kommunikation und Dokumentation zu unseren Ortungs- und Trocknungsleistungen. Welche Funktionen verfügbar sind, richtet sich nach Ihrer Benutzerrolle.

Benutzerkonto und Auftragsbearbeitung

Wir verarbeiten Namen, E-Mail-Adresse, Benutzerkennung, Passwort-Hash und technische Anmelde-, Bestätigungs- und Rücksetzkennungen. Je nach Vorgang kommen Telefonnummer, Anschrift und Schadenadresse, Schadenbeschreibung, Angaben zu Versicherungen und Ansprechpartnern sowie Bearbeitungsstatus, Termine und zugeordnete Mitarbeitende hinzu. Berechtigte Personen können diese Angaben zur Durchführung Ihres Auftrags ergänzen. Erforderliche Kontodaten sind Voraussetzung für die Anmeldung; ohne erforderliche Auftragsangaben können wir den jeweiligen Vorgang nicht bearbeiten.

Außerdem verarbeiten wir die von Ihnen oder berechtigten Projektbeteiligten bereitgestellten Fotos, Dateien, Dokumente, Chatnachrichten und Lesestatus. Vertragsunterlagen können elektronische Unterschriften und Bestätigungen enthalten. Zur Abrechnung werden Leistungen, Rechnungsbeträge, Zahlungsstatus, Zahlungsdatum, Zahlungsart und Zahlungsreferenzen dokumentiert. Dies betrifft unsere physischen Dienstleistungen. Zugriff erhalten die für den jeweiligen Vorgang berechtigten Personen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung und Durchführung des Vertrags. Bei Ansprechpartnern und sonstigen Projektbeteiligten beruht die erforderliche Kommunikation auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die geordnete Auftragsbearbeitung. Gesetzlich erforderliche Dokumentation beruht auf Art. 6 Abs. 1 lit. c DSGVO. Für Mitarbeitende verarbeiten wir zusätzlich Einsatzzuordnungen und Tätigkeitsnachweise zur Durchführung des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Zur Erfassung der Arbeitszeit siehe den folgenden Abschnitt.

Zeiterfassung für Beschäftigte

Beschäftigte können ihre Arbeitszeit mit der Stempelkarte in der App oder im Verwaltungs-Panel erfassen. Verarbeitet werden Beginn, Ende und Pausen der Arbeitsblöcke, der gewählte Einsatz beziehungsweise Arbeitsort, ob über die App oder das Verwaltungs-Panel gestempelt wurde, sowie Korrekturen mit Begründung, Zeitpunkt, bearbeitender Person sowie ursprünglichem und neuem Stand. Standortdaten (GPS), eine Ortung über die IP-Adresse oder eine Hintergrundortung setzen wir dafür nicht ein; die Angabe des Arbeitsorts ist eine Selbstauskunft.

Die Zeiterfassung dient der Erfüllung unserer gesetzlichen Pflicht zur Erfassung der Arbeitszeit sowie der Zuordnung der Arbeitszeit zu Einsätzen. Rechtsgrundlage für die Arbeitszeiterfassung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 3 Abs. 2 Nr. 1 Arbeitsschutzgesetz (vgl. BAG, Beschluss vom 13.09.2022 – 1 ABR 22/21) und, soweit einschlägig, § 16 Abs. 2 Arbeitszeitgesetz. Die Zuordnung der Arbeitszeit zu Einsätzen erfolgt zur Durchführung des Beschäftigungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Ihre eigenen Zeiten sehen Sie selbst sowie Personen in der Verwaltung, denen die Berechtigung „Teamzeiten sehen“ erteilt wurde. Kundinnen, Kunden und Gutachter haben keinen Zugriff. Korrekturen nimmt die Verwaltung mit Begründung vor. Zeitnachweise bewahren wir mindestens zwei Jahre auf (§ 16 Abs. 2 Arbeitszeitgesetz) und löschen sie danach nach Prüfung. Mit der Löschung eines Benutzerkontos werden Zeitnachweise nicht automatisch entfernt; über ihre weitere Aufbewahrung oder Löschung wird gesondert entschieden. Sie haben insbesondere das Recht auf Auskunft und auf Berichtigung, die über eine Korrektur durch die Verwaltung erfolgt, sowie die weiteren Rechte nach Ziffer 11, soweit sie auf diese Verarbeitung anwendbar sind.

Gerätespeicher, Fotos und Berechtigungen

Die App speichert Anmeldeinformationen im geschützten Gerätespeicher. Offline-Entwürfe und Angaben zu ausstehenden Uploads werden auf Mobilgeräten verschlüsselt lokal vorgehalten und bei verfügbarer Verbindung übertragen. In der Web-Anwendung kommen hierfür Browser-Speicher und technisch erforderliche Sitzungskennungen zum Einsatz. Die Speicherung dient den von Ihnen angeforderten Funktionen (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung erfolgt zur Vertragsdurchführung beziehungsweise zur sicheren Bereitstellung nach Art. 6 Abs. 1 lit. b und f DSGVO.

Für Fotoaufnahmen, die Auswahl von Bildern und das Scannen von QR-Codes werden die entsprechenden Systemfunktionen und gegebenenfalls Ihre Geräteberechtigung verwendet. Übertragen werden die von Ihnen ausgewählten Inhalte. Sie können Berechtigungen in den Systemeinstellungen ändern; die betroffenen Funktionen stehen dann gegebenenfalls nicht zur Verfügung. Die App fordert keinen Zugriff auf Mikrofon oder GPS-Standort an.

Mitteilungen und App-Updates

Wenn Sie Push-Mitteilungen erlauben, wird eine technische Push-Kennung Ihrem Konto zugeordnet. Zur Zustellung werden Kennung, Mitteilungsinhalt und technische Zustelldaten an den Expo Push Service (650 Industries, Inc., USA) und von dort an Apple Push Notification Service bei iOS beziehungsweise Firebase Cloud Messaging von Google bei Android übermittelt. Die Aktivierung ist freiwillig und kann in den Systemeinstellungen widerrufen werden (Art. 6 Abs. 1 lit. a DSGVO). Die übrige App bleibt ohne Push-Mitteilungen nutzbar. Je nach Geräteeinstellung können Mitteilungen auf dem Sperrbildschirm sichtbar sein.

Technische App-Aktualisierungen werden über Expo bereitgestellt. Beim Abruf fallen insbesondere IP-Adresse, Zeitpunkt sowie Plattform-, App- und Update-Versionsangaben an. Dies dient der sicheren, kompatiblen und aktuellen Bereitstellung der App (Art. 6 Abs. 1 lit. f DSGVO). Bei Expo sowie den Plattformdiensten kann eine Verarbeitung in den USA stattfinden. Informationen zu Empfängern und internationalen Übermittlungen: Expo, Apple und Google. Die unter Ziffern 5 und 6 beschriebenen Website-Statistikdienste werden dadurch nicht automatisch in der nativen App aktiviert.

Für Konto-, Sicherheits- und Vorgangs-E-Mails der App verwenden wir Resend (Plus Five Five, Inc., USA). Dabei werden Empfängeradresse, erforderliche Nachrichteninhalte und Versand- beziehungsweise Zustelldaten verarbeitet. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse an einer zuverlässigen und sicheren Kommunikation nach Art. 6 Abs. 1 lit. f DSGVO. Informationen zu Drittlandübermittlungen und Standardvertragsklauseln: Resend DPA und Datenschutzhinweise.

Fehler- und Absturzberichte (GlitchTip)

Zur Erkennung und Behebung technischer Fehler übermitteln die native Release-Version der App sowie, soweit dort aktiviert, unser App-Server (API) und das Verwaltungs-Panel technische Fehlerberichte an eine selbst gehostete Instanz der Open-Source-Software GlitchTip unter glitchtip.dovare.de. Die Berichte werden nicht an den Cloud-Dienst von GlitchTip oder an Sentry übermittelt. Jeder Bericht wird anhand einer festen Positivliste erstellt: Fehlertyp, Stack-Positionen (Datei, Zeile und Spalte), App- beziehungsweise Softwareversion, Update- oder Laufzeitkennung, Umgebung, betroffener Bereich, Zeitpunkt und Ereigniskennung. Fehlertexte, Anfrage- und Nachrichteninhalte, Kunden- und Kontodaten, Nutzerkennungen, Gerätekontext, Bildschirm- oder Sitzungsaufzeichnungen und Leistungsmessungen werden nicht übermittelt. Beim Empfang eines Berichts wird technisch die IP-Adresse der sendenden Verbindung verarbeitet.

Die Verarbeitung dient dazu, Fehler zu erkennen und zu beheben sowie einen stabilen und sicheren Betrieb von App, Server und Verwaltungs-Panel zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in funktionsfähigen, stabilen und sicheren Anwendungen. Fehlerberichte werden höchstens 90 Tage gespeichert und danach automatisch gelöscht. Zugriff haben nur befugte Personen sowie der technische Betreiber der Instanz, soweit dies für den Betrieb erforderlich ist. Die Instanz ist über das Netzwerk von Cloudflare erreichbar (Ziffer 8c).

Schutz der Anmeldung

Zum Schutz vor dem Ausprobieren von Passwörtern zählen wir fehlgeschlagene Anmeldeversuche je E-Mail-Adresse. Gespeichert wird dafür nicht die Adresse selbst, sondern ein mit einem geheimen Schlüssel gebildeter Prüfwert zusammen mit der Anzahl der Fehlversuche und deren Zeitpunkten. Nach mehreren Fehlversuchen wird die Anmeldung vorübergehend verzögert oder gesperrt; bei einer Sperre informieren wir die Kontoinhaberin beziehungsweise den Kontoinhaber per E-Mail. Die Einträge werden spätestens 24 Stunden nach dem letzten Fehlversuch gelöscht, nach einer erfolgreichen Anmeldung sofort. Mitarbeitende können zusätzlich eine Zwei-Faktor-Anmeldung mit einer Authenticator-App nutzen, für Administratorkonten ist sie verpflichtend; dabei speichern wir ein verschlüsseltes Geheimnis sowie gehashte Notfall-Codes bis zur Deaktivierung oder Kontolöschung.

Sofern wir die Anmeldeseite unseres internen Verwaltungs-Panels für Mitarbeitende zusätzlich durch Cloudflare Turnstile schützen, einen Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA, gilt Folgendes: Turnstile prüft beim Aufruf der Anmeldeseite anhand technischer Browser- und Verbindungsmerkmale (unter anderem IP-Adresse, Browser- und Geräteinformationen), ob die Anfrage von einem Menschen stammt, und übermittelt dazu Daten an Cloudflare. In der Kunden-App und auf dieser Website wird Turnstile nicht eingesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Konten und Kundendaten vor automatisierten Angriffen. Für Übermittlungen in die USA stützt sich Cloudflare nach eigenen Angaben auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Weitere Informationen: Turnstile-Datenschutzhinweise von Cloudflare.

Speicherdauer und Kontolöschung

Kontodaten werden für die Nutzung des Kontos gespeichert. Für Vorgangsdaten richtet sich die Speicherdauer nach der laufenden Bearbeitung, erforderlicher Vertragsdokumentation, gesetzlichen Aufbewahrungspflichten und gegebenenfalls der Geltendmachung oder Abwehr konkreter Ansprüche (siehe Ziffer 10). Die Prüfung und Löschung aufbewahrungspflichtiger Geschäftsdaten erfolgt fallbezogen; sie wird nicht allein durch das Löschen der App ausgelöst.

Unter „Einstellungen → Datenschutz“ können Sie die Löschung Ihres Kontos anfragen und weitere Datenschutzrechte ausüben. Nach Bestätigung der Löschanfrage wird der Zugang gesperrt. Wir prüfen die Löschung und etwaige Aufbewahrungspflichten und informieren Sie über den Abschluss beziehungsweise begründete Einschränkungen. Sie können sich hierfür auch an info@westfalenhelp.de wenden. Soweit Daten weiter aufbewahrt werden müssen, ist dies auf den jeweiligen Aufbewahrungszweck beschränkt. Sicherungskopien können Daten bis zur Ersetzung oder Löschung des betreffenden Backups enthalten.

8b. App-Hosting und Sicherungskopien

Die Server für die App und das zugehörige Verwaltungsportal werden in unserem Auftrag von einem Hosting-Dienstleister in einem Rechenzentrum innerhalb der Europäischen Union betrieben. Dort liegen die App-Datenbank und der Dateispeicher. Dies umfasst die unter Ziffer 8a beschriebenen Konto-, Auftrags-, Kommunikations- und Dokumentdaten sowie technisch erforderliche Zugriffs- und Sicherheitsdaten wie IP-Adresse, Zeitpunkt, angefragten Dienst und Fehlerstatus.

Sicherungskopien werden bei einem Hosting-Dienstleister ebenfalls innerhalb der Europäischen Union gespeichert. Backups können die gesicherten Datenbank- und Dateiinhalte enthalten. Sie dienen der Wiederherstellung bei Datenverlust oder technischen Störungen. Auf Anfrage nennen wir Ihnen die konkret eingesetzten Dienstleister.

Das Hosting dient der Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung für Betriebssicherheit, Missbrauchsabwehr und Datensicherung beruht auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Verfügbarkeit, Integrität und Wiederherstellbarkeit unserer Dienste.

8c. Cloudflare bei der Bereitstellung der Statistik und der Fehlerberichte

Der unter Ziffer 5 beschriebene Statistikdienst unter a.dovare.de und der unter Ziffer 8a beschriebene Empfang von Fehlerberichten unter glitchtip.dovare.de werden über Cloudflare, Inc., USA, bereitgestellt. Cloudflare vermittelt als vorgeschalteter Netzwerkdienst Anfragen, stellt zwischengespeicherte Inhalte bereit und schützt die Infrastruktur vor Angriffen. Dabei können IP-Adresse, angefragte URL, Zeitpunkt, Browser- und Geräteinformationen sowie die über diesen Dienst übertragenen Inhalte und Sicherheits- beziehungsweise Verbindungsprotokolle verarbeitet werden. Cloudflare kann außerdem technische Berichte über Verbindungsfehler erhalten.

Der Statistikdienst wird von unserer Website erst nach Ihrer Statistik-Einwilligung aufgerufen. Diese bleibt Rechtsgrundlage für die Statistik einschließlich ihrer Bereitstellung (Art. 6 Abs. 1 lit. a DSGVO und, soweit anwendbar, § 25 Abs. 1 TDDDG). Die erforderliche Absicherung und Fehleranalyse der angeforderten Verbindung dient unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Ein Widerruf ist über die Datenschutzeinstellungen möglich. Für die Übermittlung von Fehlerberichten über Cloudflare ist Rechtsgrundlage ebenfalls Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren und erreichbaren Fehlerberichterstattung.

Cloudflare betreibt ein weltweites Netzwerk; eine Verarbeitung kann auch in den USA und weiteren Drittländern stattfinden. Das Cloudflare Data Processing Addendum beschreibt die eingesetzten Übermittlungsgarantien, insbesondere Standardvertragsklauseln. Weitere Angaben zu Datenverarbeitung und Empfängern finden Sie in der Datenschutzerklärung von Cloudflare.

9. Empfänger und Auftragsverarbeiter

Innerhalb von Westfalen Help erhalten nur die mit der Bearbeitung befassten Personen Zugriff auf Ihre Angaben. Externe Empfänger können je nach Verarbeitung insbesondere sein: die Hostinganbieter der Website, der App und der Sicherungskopien (Ziffern 2 und 8b), der Datenbankanbieter für Anfragen (Ziffer 7a), der technische Betreiber der selbst gehosteten Umami- und GlitchTip-Instanzen (Ziffern 5 und 8a), Cloudflare als vorgeschalteter Netzwerkdienst (Ziffer 8c), E-Mail- und Push-Dienste (Ziffern 8 und 8a), Google als Auftragsverarbeiter für Google Analytics nach Ihrer Statistik-Einwilligung (Ziffer 6), Google als eigenständiger Verantwortlicher für Google Ads nach Ihrer Einwilligung in die Anzeigenmessung (Ziffer 6a) sowie – nur soweit für Ihren Auftrag erforderlich oder von Ihnen veranlasst – beteiligte Fachunternehmen, Versicherer, Hausverwaltungen oder sonstige Projektbeteiligte. Auftragsverarbeiter werden gemäß Art. 28 DSGVO vertraglich gebunden. Eine darüber hinausgehende Weitergabe erfolgt nur aufgrund einer gesetzlichen Erlaubnis, Verpflichtung oder Ihrer ausdrücklichen Veranlassung.

10. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Nicht zu einem Auftrag führende Kontaktanfragen werden nach abschließender Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere, begrenzte Speicherung bestehen. Vertrags- und abrechnungsrelevante Unterlagen können insbesondere handels- und steuerrechtlichen Aufbewahrungsfristen von sechs, acht oder zehn Jahren unterliegen. Nach Ablauf der jeweils maßgeblichen Frist werden die Daten gelöscht oder anonymisiert.

11. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO, Datenübertragbarkeit nach Art. 20 DSGVO sowie Widerspruch nach Art. 21 DSGVO (siehe Ziffer 11a). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@westfalenhelp.de. Bei begründeten Zweifeln an Ihrer Identität können wir zusätzliche Angaben zur Identitätsbestätigung anfordern.

12. Beschwerderecht

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für unseren Sitz ist insbesondere zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
www.ldi.nrw.de

13. Automatisierte Entscheidungen

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

14. Aktualisierung dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Website-Funktionen, Dienstleister oder Verarbeitungsabläufe ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.