Datenschutzerklärung

2. Hosting und technische Bereitstellung

Diese Website wird über Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, bereitgestellt. Bei jedem Seitenaufruf verarbeitet die Hosting-Infrastruktur technisch erforderliche Verbindungsdaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browsertyp, Betriebssystem sowie Status- und Fehlerdaten gehören.

Die Verarbeitung dient der sicheren, stabilen und effizienten Bereitstellung der Website sowie der Erkennung und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und störungsfreien Bereitstellung unseres Internetangebots. Protokolldaten werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und Sicherheitszwecke erforderlich ist; anschließend werden sie gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungsgründe entgegenstehen.

Vercel kann Daten auch in den USA und weiteren Drittländern verarbeiten. Nach Angaben von Vercel werden hierfür – abhängig vom Verarbeitungsvorgang – insbesondere der Angemessenheitsbeschluss zum EU-US Data Privacy Framework und die Standardvertragsklauseln der Europäischen Kommission eingesetzt. Weitere Informationen finden Sie in der Datenschutzerklärung und im Data Processing Addendum von Vercel.

3. Verschlüsselte Übertragung

Die Website wird über TLS/HTTPS ausgeliefert. Dadurch werden übertragene Inhalte während des Transports gegen unbefugtes Mitlesen und Veränderungen geschützt. Eine absolute Sicherheit elektronischer Übertragungswege kann dennoch nicht garantiert werden.

4. Cookies, Local Storage und ähnliche Technologien

Externe Karten, Videos und Social-Media-Plugins werden nicht automatisch geladen. Die optionale Reichweitenmessung wird erst nach Ihrer ausdrücklichen Zustimmung geladen: Umami arbeitet dabei ohne Cookies, Google Analytics 4 setzt die nachfolgend beschriebenen Erstanbieter-Cookies. Das Google-Tag für Google Ads laden wir dagegen auf jeder Seite im Google Consent Mode (Ziffer 6a). Ohne Ihre Einwilligung in die Anzeigenmessung setzt es keine Werbe-Cookies und sendet nur cookielose Signale an Google. Mit Ihrer Einwilligung können Cookies zur Zuordnung von Anzeigenklicks gesetzt werden, und Google kann die Daten auch für personalisierte Werbung einschließlich Remarketing nutzen.

Damit Ihre ausdrücklich gewählte Datenschutzeinstellung respektiert wird und der Hinweis geschlossen bleibt, speichern wir den technisch notwendigen Local-Storage-Eintrag wh_privacy_choice in Ihrem Browser. Diese Speicherung erfolgt gemäß § 25 Abs. 2 Nr. 2 TDDDG. Soweit dabei ein Personenbezug entstehen kann, beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer datenschutzfreundlichen und nutzerfreundlichen Bereitstellung der Website. Google-Cookies entstehen ausschließlich nach Ihrer Einwilligung in die jeweilige Kategorie.

Gelangen Sie über eine Google-Anzeige auf unsere Website, legt unser eigener Websitecode die Google-Klick-Kennung aus der Einstiegsadresse im Sitzungsspeicher (sessionStorage) dieses Browser-Tabs ab, damit sie mit einer späteren Anfrage übermittelt werden kann. Sie wird nicht an Statistikdienste weitergegeben und vom Browser beim Schließen des Tabs gelöscht. Zweck und Rechtsgrundlage beschreiben wir in Ziffer 6a.

Sie können die gespeicherte Auswahl jederzeit über Datenschutzeinstellungen öffnen einsehen, ändern oder zurücksetzen. Umami und Google Analytics werden erst nach einer aktiven Zustimmung aktiviert; Werbe-Cookies von Google Ads entstehen erst nach Ihrer Einwilligung in die Anzeigenmessung.

5. Selbst gehostete Reichweitenmessung mit Umami

Wenn Sie im Datenschutzhinweis „Alle akzeptieren“ auswählen oder die Statistik in den individuellen Einstellungen aktivieren und speichern, laden wir das Umami-Script von https://a.dovare.de/script.js. Umami wird für uns über eine selbst gehostete Instanz unter a.dovare.de betrieben; Umami Cloud wird nicht verwendet. Ohne Ihre Zustimmung wird das Script nicht angefordert und es werden keine Statistikdaten an die Umami-Instanz gesendet.

Wir verwenden Umami, um Reichweite und technische Nutzung unserer Website zu verstehen und Inhalte zu verbessern. Verarbeitet werden insbesondere die aufgerufene Seite und ihr Titel, Zeitpunkt, verweisende Seite, Browser und Browsersprache, Betriebssystem, Gerätetyp, Bildschirmgröße sowie das aus der IP-Adresse abgeleitete Herkunftsland. Suchparameter und URL-Fragmente schließen wir technisch von der Erfassung aus. Zusätzlich erfassen wir nach Einwilligung als eigene Ereignisse, ob ein Telefon- oder E-Mail-Link angeklickt beziehungsweise eine gültige Projektanfrage dauerhaft gespeichert wurde. Zusätzlich messen wir Klicks auf Anfrage-Links, den Beginn einer Formulareingabe und technische Übermittlungsfehler, jedoch keine einzelnen Eingaben oder Fehlerdetails. Inhalte, Namen, Telefonnummern, E-Mail-Adressen und Freitexte aus Kontaktformularen werden nicht an Umami übermittelt; individuelle Nutzerkennungen setzen wir nicht ein.

Umami setzt keine Cookies. Zur Bildung einer wiederkehrenden, nicht websiteübergreifenden Sitzung verarbeitet Umami nach seiner technischen Dokumentation einen Hash aus IP-Adresse, User-Agent und Website-ID. Die IP-Adresse fällt außerdem beim Abruf des Scripts und bei der Übermittlung der Messdaten technisch am Server an. Eine Wiedererkennung über andere Websites hinweg und die Bildung von Werbeprofilen finden nicht statt.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und – soweit § 25 TDDDG auf den konkreten Verarbeitungsschritt anwendbar ist – § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und für die Nutzung der Website nicht erforderlich. Sie können sie jederzeit über Datenschutzeinstellungen öffnen mit Wirkung für die Zukunft widerrufen. Nach dem Widerruf wird Umami auf weiteren Seitenaufrufen nicht mehr geladen.

Die Statistikdaten werden ausschließlich in der selbst gehosteten Instanz verarbeitet und nicht an Umami Software, Inc. oder Umami Cloud übermittelt. Zugriff erhalten nur befugte Personen sowie der technische Betreiber und Hostinganbieter der Instanz, soweit dies für den Betrieb erforderlich ist. Sitzungsbezogene Rohdaten werden spätestens nach zwölf Monaten gelöscht oder so aggregiert, dass sie keiner einzelnen Sitzung mehr zugeordnet werden können.

6. Google Analytics 4

Wenn Sie der Statistik zustimmen, verwenden wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), mit der Mess-ID G-FYHW9KX8TR. Erst nach Ihrer Statistik-Einwilligung aktivieren wir Google Analytics und übermitteln Messdaten an Google-Analytics-Endpunkte. Die gemeinsam genutzte Google-Tag-Bibliothek von https://www.googletagmanager.com wird für Google Ads auf jeder Seite geladen (Ziffer 6a); dies aktiviert für sich genommen keine Google-Analytics-Erfassung. Ohne Statistik-Einwilligung konfigurieren wir Google Analytics nicht und senden keine Analytics-Ereignisse.

Google Analytics hilft uns zu verstehen, wie unsere Website genutzt wird. Verarbeitet werden insbesondere aufgerufene Seiten und Seitentitel, Zeitpunkt, verweisende Seite, Interaktionen, Browser- und Sprachinformationen, Betriebssystem, Gerätetyp, Bildschirmauflösung, ungefähre geografische Angaben sowie pseudonyme Nutzer- und Sitzungskennungen. Nach Einwilligung erfassen wir Telefon- und E-Mail-Linkklicks als lead_phone_click beziehungsweise lead_email_click. Diese Klicks belegen weder ein geführtes Gespräch noch eine versendete E-Mail. Das Ereignis generate_lead wird nach Einwilligung nur erfasst, wenn eine gültige Formularanfrage dauerhaft gespeichert wurde. Es belegt noch keinen Auftrag. Die Ereignisse request_cta_click, request_form_start und request_form_error erfassen Aufruf, Beginn und technische Übermittlungsfehler des Anfragewegs ohne Formularinhalte. Inhalte, Namen, Telefonnummern, E-Mail-Adressen und Freitexte aus Kontaktformularen sowie eigene User-IDs übermitteln wir nicht. Google verwendet die IP-Adresse technisch zur Übertragung und zur Ableitung ungefährer Standortinformationen. Nach Angaben von Google werden IP-Adressen von Nutzern aus der EU vor der Protokollierung verworfen und weder protokolliert noch gespeichert.

Google Analytics setzt nach Ihrer Einwilligung insbesondere die Erstanbieter-Cookies _ga und _ga_FYHW9KX8TR. Wir begrenzen ihre Laufzeit tag-seitig auf 180 Tage ab dem ersten Setzen und verlängern sie nicht bei weiteren Seitenaufrufen; Browser können diese Dauer weiter verkürzen. Nutzer- und ereignisbezogene Daten können in einer Standard-Property abhängig von der dort gewählten Aufbewahrungseinstellung zwei oder 14 Monate vorgehalten werden. Diese Einstellung wirkt sich nach Angaben von Google nicht auf aggregierte Standardberichte aus.

Vor der Initialisierung bereinigt unser Websitecode die an Google Analytics übergebene Seiten- und Referrer-Adresse auf Ursprung und Pfad. Suchparameter und URL-Fragmente werden dabei entfernt. Auch unsere eigenen Anfrage- und Kontaktereignisse enthalten keine Suchparameter oder URL-Fragmente.

Für Google Analytics deaktivieren wir Google Signals und Signale zur Anzeigenpersonalisierung; Google Analytics wird auf dieser Website nicht für Remarketing oder personalisierte Werbung eingesetzt. Wir verwenden den Google Consent Mode: Zu Beginn jedes Seitenaufrufs sind alle Einwilligungssignale (analytics_storage, ad_storage, ad_user_data und ad_personalization) auf „abgelehnt“ gesetzt. Ihre Statistik-Einwilligung gibt ausschließlich analytics_storage frei. ad_storage, ad_user_data und ad_personalization werden nur mit Ihrer gesonderten Einwilligung in die Anzeigenmessung freigegeben (Ziffer 6a); die Statistikentscheidung allein erteilt diese Einwilligung nicht.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung ist freiwillig und für die Nutzung der Website nicht erforderlich. Sie können sie jederzeit über Datenschutzeinstellungen öffnen mit Wirkung für die Zukunft widerrufen. Dabei setzen wir das Consent-Signal auf Ablehnung, deaktivieren weitere Analytics-Ereignisse und löschen erreichbare _ga-Cookies. Der Widerruf gilt im aktuellen und in anderen bereits geöffneten Tabs. Begonnene Formulare bleiben ohne automatischen Neustart erhalten; bei folgenden Seitenaufrufen werden die abgewählten Dienste nicht mehr geladen. Bereits vor dem Widerruf übermittelte Daten werden dadurch nicht zurückgerufen.

Google kann Daten auch durch verbundene Unternehmen und Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Google nennt hierfür je nach Verarbeitung insbesondere das EU-US Data Privacy Framework und die Standardvertragsklauseln der Europäischen Kommission. Weitere Informationen finden Sie in den Google Ads Data Processing Terms, den Informationen zu internationalen Datentransfers und der Datenschutzerklärung von Google.

6a. Anzeigenmessung und Werbung mit Google Ads

Auf allen Seiten dieser Website laden wir das Google-Tag AW-18442630176 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Es dient dazu, den Erfolg unserer Google-Anzeigen zu messen, Besuche und Anfragen einem vorangegangenen Anzeigenklick zuzuordnen und – nur mit Ihrer Einwilligung – Werbung zu personalisieren. Dafür setzen wir den Google Consent Mode in der Variante „Advanced“ ein: Das Google-Tag wird unabhängig von Ihrer Auswahl geladen; was es speichert und an Google sendet, richtet sich nach Ihren Einwilligungssignalen. Aus der von unserem Code übergebenen Seitenadresse entfernen wir Suchparameter und URL-Fragmente mit Ausnahme der Google-Anzeigenklick-Parameter (etwa gclid, gbraid und wbraid); die verweisende Adresse kürzen wir auf Ursprung und Pfad. Erweiterte Conversions (auch mit gehashten Kontaktdaten) setzen wir nicht ein.

Ohne Ihre Einwilligung in die Anzeigenmessung bleiben ad_storage, ad_user_data und ad_personalization abgelehnt. Das Google-Tag setzt und liest dann nach Angaben von Google keine Werbe-Cookies, sondern sendet nur cookielose Mitteilungen (sogenannte Pings) an Google, etwa zum Seitenaufruf, zum Einwilligungsstatus und zu Conversions. Dabei werden technisch insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seite sowie Browser- und Geräteinformationen übertragen. Google kann diese Pings nach eigenen Angaben nutzen, um Conversions statistisch zu modellieren. Über die Einstellung url_passthrough gibt das Google-Tag Anzeigenklick-Kennungen (etwa gclid) beim Wechsel zwischen unseren Seiten als URL-Parameter weiter, anstatt sie in Cookies zu speichern. Kamen Sie über eine Google-Anzeige, können diese cookielosen Pings deshalb auch die Anzeigenklick-Kennung enthalten, damit Google eine Conversion dem Anzeigenklick zuordnen kann.

Mit Ihrer Einwilligung – über „Alle akzeptieren“ oder die Kategorie „Anzeigenmessung & Werbung mit Google Ads“ in den individuellen Einstellungen – setzen wir ad_storage, ad_user_data und ad_personalization auf „erteilt“. Google kann dann Cookies wie _gcl_au und _gcl_aw setzen und auslesen, Besuche und Conversions Anzeigenklicks zuordnen und die Daten auch für personalisierte Werbung einschließlich Remarketing nutzen, also für Anzeigen an Personen, die unsere Website bereits besucht haben. Verarbeitet werden können insbesondere Anzeigenklick-Kennungen, aufgerufene Seiten, Zeitpunkte, IP-Adresse, Browser- und Geräteinformationen sowie pseudonyme Cookie-Kennungen.

Conversion „Lead-Formular senden“: Nach jeder dauerhaft gespeicherten, gültigen und nicht als Spam erkannten Anfrage übergeben wir dem Google-Tag die Conversion „Lead-Formular senden“ – unabhängig von Ihrer Auswahl. Sie enthält eine zufällige, pro Anfrage gleichbleibende Transaktionskennung zur Vermeidung doppelter Zählungen. Was Google dabei erhält, entscheidet der Consent Mode anhand Ihrer Einwilligungssignale: Ohne Einwilligung wird die Conversion als cookieloser Ping gesendet, der eine über die Seitenadresse weitergegebene Anzeigenklick-Kennung enthalten kann; mit Einwilligung kann Google sie zusätzlich über Cookies einem Anzeigenklick zuordnen. Wir übermitteln dabei keine Formularinhalte, Namen, Telefonnummern, E-Mail-Adressen oder Umsatzwerte. Die interne Anfrage-ID wird nicht an Statistikdienste übermittelt.

Google-Klick-Kennung bei Anfragen: Gelangen Sie über eine Google-Anzeige auf unsere Website, enthält die Einstiegsadresse eine Klick-Kennung (gclid, gbraid oder wbraid). Unser eigener Websitecode liest diese Kennung beim Seitenaufruf aus, prüft ihr Format und legt sie im Sitzungsspeicher dieses Browser-Tabs ab (wh_click_ids, siehe Ziffer 4). Senden Sie eine Anfrage, übermitteln wir die Kennung zusammen mit der Anfrage, speichern sie in unserer Leadverwaltung (Ziffer 7a) und nehmen sie in die interne E-Mail-Benachrichtigung auf. So können wir einen aus der Anfrage entstandenen Auftrag später dem ursprünglichen Anzeigenklick zuordnen und Google Ads als Conversion melden (Import von Offline-Conversions); Google erhält dabei insbesondere die Klick-Kennung und die Information, dass und wann aus dem Klick ein Auftrag entstanden ist. Die Klick-Kennung verwenden wir nicht in Statistik-Ereignissen und geben sie nicht an Umami oder Google Analytics weiter. Mit der Anfrage wird auch die gespeicherte Klick-Kennung gelöscht (Ziffer 7a); aus dem Sitzungsspeicher entfernt der Browser sie beim Schließen des Tabs.

Rechtsgrundlage für das Setzen und Auslesen von Werbe-Cookies und die damit verbundene Verarbeitung einschließlich personalisierter Werbung ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die cookielose Messung ohne Einwilligung, die Übergabe der Conversion sowie die Speicherung der Klick-Kennung mit Ihrer Anfrage und ihre Verwendung zur Erfolgsmessung unserer Werbung beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, den Erfolg unserer Werbung mit möglichst wenigen Daten zu messen, Budgets gezielt einzusetzen und nachzuvollziehen, welche Anzeigen zu Anfragen und Aufträgen führen. Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gemäß Art. 21 DSGVO widersprechen.

Ihre Einwilligung ist freiwillig und für die Nutzung der Website nicht erforderlich. Sie können sie unabhängig von der Statistik jederzeit über die Datenschutzeinstellungen mit Wirkung für die Zukunft widerrufen. Wir setzen ad_storage, ad_user_data und ad_personalization dann wieder auf „abgelehnt“ und löschen erreichbare _gcl_*-Cookies unserer Domain; das Google-Tag arbeitet anschließend wieder ohne Cookies. Bereits übermittelte Daten werden dadurch nicht zurückgerufen. Auf anderen Domains gesetzte Google-Cookies können Sie über Ihre Browser-Einstellungen verwalten. Fehlende oder widerrufene Einwilligung und ein blockiertes Google-Script verhindern Ihre Anfrage nicht.

Google kann Daten auch durch verbundene Unternehmen und Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA, verarbeiten. Für Übermittlungen in die USA stützt sich Google nach eigenen Angaben auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework sowie auf Standardvertragsklauseln der Europäischen Kommission. Weitere Informationen finden Sie in den oben verlinkten Google-Datenschutzhinweisen, den Informationen zu internationalen Datentransfers sowie in Googles Übersicht der Werbe- und Mess-Cookies. Die Statistik- und Anzeigenmessung sind unabhängig von der Bearbeitung Ihrer Anfrage.

7. Kontaktaufnahme und Einsatzanfrage

Wenn Sie uns anrufen, eine E-Mail senden oder das Anfrageformular verwenden, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens. Im kurzen Formular benötigen wir Anliegen, Postleitzahl des Projekts, Name und mindestens Telefonnummer oder E-Mail-Adresse. Eine Beschreibung ist optional. Ein über den Seitenaufruf vorausgewählter Projektort kann ebenfalls übermittelt werden. Kam Ihr Besuch über eine Google-Anzeige, wird außerdem die Google-Klick-Kennung aus der Einstiegsadresse mitgesendet (Ziffer 6a). Zusätzliche Angaben aus bestehenden Formularanbindungen können Dringlichkeit, Objektart und bevorzugten Kontaktweg umfassen.

Pflichtangaben sind erforderlich, um Ihre Anfrage zuzuordnen und zu beantworten. Ohne diese Angaben kann die digitale Anfrage nicht versendet werden; Sie können uns alternativ telefonisch kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen beziehungsweise die Vertragsdurchführung. Ergänzend erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, soweit dies für eine sichere, nachvollziehbare und effiziente Kommunikation erforderlich ist.

Zur Missbrauchsabwehr verarbeitet der Endpunkt außerdem Formularzeitpunkt, IP-Adresse, Herkunftsinformationen und technische Anfragedaten. Das lokale Rate-Limit verwendet die IP-Adresse innerhalb eines Zeitfensters von zehn Minuten und verwirft den Eintrag spätestens nach Ablauf dieses Fensters beziehungsweise mit dem Ende der jeweiligen Serverinstanz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt im Schutz des Formulars und unserer Kommunikationssysteme vor automatisiertem Missbrauch.

7a. Dauerhafte Anfrageverwaltung und interne Zählung

Jede aktiv abgeschickte, gültige und nicht als Spam erkannte Anfrage wird unabhängig von Ihrer Cookie- oder Tracking-Auswahl serverseitig in unserer geschützten Leadverwaltung gespeichert und intern als eingegangene Anfrage gezählt. Erst nach erfolgreicher Speicherung bestätigen wir den Eingang. Diese Verarbeitung dient der Bearbeitung, Dokumentation, Missbrauchsabwehr und betrieblichen Auswertung Ihrer Anfrage. Dafür setzen wir keine zusätzlichen Analyse-Cookies, Besucherprofile, Fingerprints oder geräteübergreifenden Kennungen ein. Das Formular funktioniert auch bei ignoriertem Banner, Ablehnung, Widerruf oder deaktiviertem JavaScript.

Gespeichert werden die unter Ziffer 7 beschriebenen Projekt- und Kontaktdaten sowie Erstellungszeitpunkt, angefragte Leistung, Bearbeitungsstatus, zufällige Anfrage-, Übermittlungs- und Transaktionskennungen, Ihre Auswahl zur Anzeigenmessung zum Zeitpunkt der Anfrage, technische Benachrichtigungs- und Messzustände sowie – falls vorhanden – die Google-Klick-Kennung (gclid, gbraid oder wbraid, Ziffer 6a). Die zufällige Übermittlungskennung gehört ausschließlich zu dieser Formularinstanz und verhindert doppelte Speicherung bei Wiederholungen. Sie dient nicht der Wiedererkennung von Besuchern. Die Herkunft bleibt „unknown“, wenn sie nicht zuverlässig feststellbar ist; eine Anfrage wird nicht pauschal Google Ads zugeschrieben. Ein technischer Google-Aufruf ist kein Nachweis einer bei Google gutgeschriebenen Conversion.

Kontaktdaten und Freitexte bleiben im geschützten Anfragevorgang und der erforderlichen E-Mail-Benachrichtigung. Interne Auswertungen zählen gespeicherte Vorgänge nach Tag, Leistung und Status ohne Kontaktinhalte. Rechtsgrundlage für die Anfragebearbeitung ist Art. 6 Abs. 1 lit. b DSGVO, bei sonstiger Kontaktaufnahme Art. 6 Abs. 1 lit. f DSGVO. Dokumentation, Missbrauchsabwehr und datensparsame interne Erfolgsauswertung beruhen auf Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind eine verlässliche Bearbeitung, der Schutz vor Doppelanfragen und Missbrauch sowie die Planung unserer betrieblichen Kapazitäten.

Zugriff erhalten ausschließlich zur Anfragebearbeitung berechtigte Personen bei Westfalen Help und technisch erforderliche Auftragsverarbeiter. Hosting und E-Mail-Versand sind in Ziffern 2 und 8 beschrieben. Die Datenbank wird durch Neon (Datenbankdienst, über Vercel eingebunden) betrieben. Dabei können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden. Informationen zu den vertraglichen Garantien einschließlich Standardvertragsklauseln enthält der Anbieter unter https://neon.com/dpa. Datenschutzhinweise des Datenbankanbieters.

Wir speichern Anfragen, solange sie für die Bearbeitung, die Abstimmung eines möglichen Auftrags und etwaige Rückfragen erforderlich sind. Führt eine Anfrage zu einem Auftrag, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (siehe Ziffer 10). Anfragen ohne Folgeauftrag löschen wir, sobald sie hierfür nicht mehr benötigt werden.

Die Speicherung und interne Zählung sind unabhängig von optionaler Statistik und Werbung. GA4 und Umami erhalten ein Formularereignis ausschließlich nach Statistik-Einwilligung. Die Google-Ads-Conversion „Lead-Formular senden“ wird nach jeder gespeicherten Anfrage an das Google-Tag übergeben; was Google dabei erhält, richtet sich nach Ihrer Einwilligung in die Anzeigenmessung (Ziffer 6a). Ein Telefonklick wird getrennt als Klick erfasst und gilt weder als Formularanfrage noch als geführtes Telefonat oder qualifizierter Lead.

8. Technischer E-Mail-Versand

Für die technische Zustellung der Formularanfrage verwenden wir Resend, einen Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Verarbeitet werden insbesondere Absender- und Empfängeradresse, Nachrichteninhalt sowie technische Versand- und Zustelldaten. Die Verarbeitung erfolgt als Teil der Bearbeitung Ihrer Anfrage gemäß Art. 6 Abs. 1 lit. b DSGVO und auf Grundlage unseres berechtigten Interesses an einer zuverlässigen Zustellung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Resend ist als Auftragsverarbeiter gemäß Art. 28 DSGVO vertraglich gebunden. Bei einer Übermittlung in die USA oder andere Drittländer werden nach Angaben des Anbieters die im Data Processing Addendum einbezogenen Standardvertragsklauseln eingesetzt. Weitere Informationen: Resend Data Processing Addendum und Resend Privacy Policy.

8a. Westfalen Help App und Kundenportal

Diese Erklärung gilt auch für die Westfalen Help App und das zugehörige Kunden- und Verwaltungsportal. Die App unterstützt die Meldung und Bearbeitung von Schäden sowie die Kommunikation und Dokumentation zu unseren Ortungs- und Trocknungsleistungen. Welche Funktionen verfügbar sind, richtet sich nach Ihrer Benutzerrolle.

Benutzerkonto und Auftragsbearbeitung

Wir verarbeiten Namen, E-Mail-Adresse, Benutzerkennung, Passwort-Hash und technische Anmelde-, Bestätigungs- und Rücksetzkennungen. Je nach Vorgang kommen Telefonnummer, Anschrift und Schadenadresse, Schadenbeschreibung, Angaben zu Versicherungen und Ansprechpartnern sowie Bearbeitungsstatus, Termine und zugeordnete Mitarbeitende hinzu. Berechtigte Personen können diese Angaben zur Durchführung Ihres Auftrags ergänzen. Erforderliche Kontodaten sind Voraussetzung für die Anmeldung; ohne erforderliche Auftragsangaben können wir den jeweiligen Vorgang nicht bearbeiten.

Außerdem verarbeiten wir die von Ihnen oder berechtigten Projektbeteiligten bereitgestellten Fotos, Dateien, Dokumente, Chatnachrichten und Lesestatus. Vertragsunterlagen können elektronische Unterschriften und Bestätigungen enthalten. Zur Abrechnung werden Leistungen, Rechnungsbeträge, Zahlungsstatus, Zahlungsdatum, Zahlungsart und Zahlungsreferenzen dokumentiert. Dies betrifft unsere physischen Dienstleistungen. Zugriff erhalten die für den jeweiligen Vorgang berechtigten Personen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung und Durchführung des Vertrags. Bei Ansprechpartnern und sonstigen Projektbeteiligten beruht die erforderliche Kommunikation auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die geordnete Auftragsbearbeitung. Gesetzlich erforderliche Dokumentation beruht auf Art. 6 Abs. 1 lit. c DSGVO. Für Mitarbeitende können zusätzlich Einsatzzuordnungen, Arbeitszeiten, Tätigkeitsnachweise und Korrekturverläufe zur Durchführung des Beschäftigungsverhältnisses verarbeitet werden (§ 26 Abs. 1 BDSG).

Gerätespeicher, Fotos und Berechtigungen

Die App speichert Anmeldeinformationen im geschützten Gerätespeicher. Offline-Entwürfe und Angaben zu ausstehenden Uploads werden auf Mobilgeräten verschlüsselt lokal vorgehalten und bei verfügbarer Verbindung übertragen. In der Web-Anwendung kommen hierfür Browser-Speicher und technisch erforderliche Sitzungskennungen zum Einsatz. Die Speicherung dient den von Ihnen angeforderten Funktionen (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung erfolgt zur Vertragsdurchführung beziehungsweise zur sicheren Bereitstellung nach Art. 6 Abs. 1 lit. b und f DSGVO.

Für Fotoaufnahmen, die Auswahl von Bildern und das Scannen von QR-Codes werden die entsprechenden Systemfunktionen und gegebenenfalls Ihre Geräteberechtigung verwendet. Übertragen werden die von Ihnen ausgewählten Inhalte. Sie können Berechtigungen in den Systemeinstellungen ändern; die betroffenen Funktionen stehen dann gegebenenfalls nicht zur Verfügung. Die App fordert keinen Zugriff auf Mikrofon oder GPS-Standort an.

Mitteilungen und App-Updates

Wenn Sie Push-Mitteilungen erlauben, wird eine technische Push-Kennung Ihrem Konto zugeordnet. Zur Zustellung werden Kennung, Mitteilungsinhalt und technische Zustelldaten an den Expo Push Service (650 Industries, Inc., USA) und von dort an Apple Push Notification Service bei iOS beziehungsweise Firebase Cloud Messaging von Google bei Android übermittelt. Die Aktivierung ist freiwillig und kann in den Systemeinstellungen widerrufen werden (Art. 6 Abs. 1 lit. a DSGVO). Die übrige App bleibt ohne Push-Mitteilungen nutzbar. Je nach Geräteeinstellung können Mitteilungen auf dem Sperrbildschirm sichtbar sein.

Technische App-Aktualisierungen werden über Expo bereitgestellt. Beim Abruf fallen insbesondere IP-Adresse, Zeitpunkt sowie Plattform-, App- und Update-Versionsangaben an. Dies dient der sicheren, kompatiblen und aktuellen Bereitstellung der App (Art. 6 Abs. 1 lit. f DSGVO). Bei Expo sowie den Plattformdiensten kann eine Verarbeitung in den USA stattfinden. Informationen zu Empfängern und internationalen Übermittlungen: Expo, Apple und Google. Die unter Ziffern 5 und 6 beschriebenen Website-Statistikdienste werden dadurch nicht automatisch in der nativen App aktiviert.

Für Konto-, Sicherheits- und Vorgangs-E-Mails der App verwenden wir Resend (Plus Five Five, Inc., USA). Dabei werden Empfängeradresse, erforderliche Nachrichteninhalte und Versand- beziehungsweise Zustelldaten verarbeitet. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO und unser berechtigtes Interesse an einer zuverlässigen und sicheren Kommunikation nach Art. 6 Abs. 1 lit. f DSGVO. Informationen zu Drittlandübermittlungen und Standardvertragsklauseln: Resend DPA und Datenschutzhinweise.

Fehler- und Absturzberichte (Sentry)

In der nativen Release-Version der App werden, sofern die Fehlerberichterstattung aktiviert ist, technische Fehlerberichte an Sentry übermittelt, einen Dienst der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Die App erstellt jeden Bericht anhand einer festen Positivliste: Fehlertyp, ein allgemeiner Platzhalter anstelle der Fehlermeldung, Stack-Frames beschränkt auf den Dateinamen des App-Bundles sowie Zeilen- und Spaltennummer, App-Version, Update- beziehungsweise Laufzeitkennung, Umgebung, Zeitpunkt und Ereigniskennung. Nachrichtentexte, Breadcrumbs, Anfragedaten, Nutzer- oder Kontodaten, Gerätekontext, Sitzungsaufzeichnungen (Session Replay) und Leistungsmessungen (Performance Tracing) werden nicht übermittelt. Beim Empfang eines Berichts verarbeitet Sentry technisch die IP-Adresse der Verbindung.

Die Verarbeitung dient dazu, Fehler zu erkennen und zu beheben sowie einen stabilen und sicheren Betrieb der App zu gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer funktionsfähigen, stabilen und sicheren App. Fehlerberichte werden nur so lange gespeichert, wie dies für die Fehleranalyse erforderlich ist. Für Übermittlungen in die USA stützt sich Sentry nach eigenen Angaben auf das EU-US Data Privacy Framework und Standardvertragsklauseln der Europäischen Kommission. Weitere Informationen: Datenschutzerklärung von Sentry und Data Processing Addendum von Sentry.

Schutz der Anmeldung

Zum Schutz vor dem Ausprobieren von Passwörtern zählen wir fehlgeschlagene Anmeldeversuche je E-Mail-Adresse. Gespeichert wird dafür nicht die Adresse selbst, sondern ein mit einem geheimen Schlüssel gebildeter Prüfwert zusammen mit der Anzahl der Fehlversuche und deren Zeitpunkten. Nach mehreren Fehlversuchen wird die Anmeldung vorübergehend verzögert oder gesperrt; bei einer Sperre informieren wir die Kontoinhaberin beziehungsweise den Kontoinhaber per E-Mail. Die Einträge werden spätestens 24 Stunden nach dem letzten Fehlversuch gelöscht, nach einer erfolgreichen Anmeldung sofort. Mitarbeitende können zusätzlich eine Zwei-Faktor-Anmeldung mit einer Authenticator-App nutzen, für Administratorkonten ist sie verpflichtend; dabei speichern wir ein verschlüsseltes Geheimnis sowie gehashte Notfall-Codes bis zur Deaktivierung oder Kontolöschung.

Die Anmeldeseite unseres internen Verwaltungs-Panels für Mitarbeitende ist durch Cloudflare Turnstile geschützt, einen Dienst der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile prüft beim Aufruf der Anmeldeseite anhand technischer Browser- und Verbindungsmerkmale (unter anderem IP-Adresse, Browser- und Geräteinformationen), ob die Anfrage von einem Menschen stammt, und übermittelt dazu Daten an Cloudflare. In der Kunden-App und auf dieser Website wird Turnstile nicht eingesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Konten und Kundendaten vor automatisierten Angriffen. Für Übermittlungen in die USA stützt sich Cloudflare nach eigenen Angaben auf das EU-US Data Privacy Framework und Standardvertragsklauseln. Weitere Informationen: Turnstile-Datenschutzhinweise von Cloudflare.

Speicherdauer und Kontolöschung

Kontodaten werden für die Nutzung des Kontos gespeichert. Für Vorgangsdaten richtet sich die Speicherdauer nach der laufenden Bearbeitung, erforderlicher Vertragsdokumentation, gesetzlichen Aufbewahrungspflichten und gegebenenfalls der Geltendmachung oder Abwehr konkreter Ansprüche (siehe Ziffer 10). Die Prüfung und Löschung aufbewahrungspflichtiger Geschäftsdaten erfolgt fallbezogen; sie wird nicht allein durch das Löschen der App ausgelöst.

Unter „Einstellungen → Datenschutz“ können Sie die Löschung Ihres Kontos anfragen und weitere Datenschutzrechte ausüben. Nach Bestätigung der Löschanfrage wird der Zugang gesperrt. Wir prüfen die Löschung und etwaige Aufbewahrungspflichten und informieren Sie über den Abschluss beziehungsweise begründete Einschränkungen. Sie können sich hierfür auch an info@westfalenhelp.de wenden. Soweit Daten weiter aufbewahrt werden müssen, ist dies auf den jeweiligen Aufbewahrungszweck beschränkt. Sicherungskopien können Daten bis zur Ersetzung oder Löschung des betreffenden Backups enthalten.

8b. App-Hosting bei Tube-Hosting und Backups bei Hetzner

Die Server für die App und das zugehörige Verwaltungsportal betreiben wir bei Tube-Hosting (Ferdinand Zink, Schlesierstraße 7, 97631 Bad Königshofen, Deutschland). Dort werden die App-Datenbank und der Dateispeicher betrieben. Dies umfasst die unter Ziffer 8a beschriebenen Konto-, Auftrags-, Kommunikations- und Dokumentdaten sowie technisch erforderliche Zugriffs- und Sicherheitsdaten wie IP-Adresse, Zeitpunkt, angefragten Dienst und Fehlerstatus. Weitere Informationen: Datenschutzhinweise von Tube-Hosting.

Für Sicherungskopien nutzen wir Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Backups können die gesicherten Datenbank- und Dateiinhalte enthalten. Sie dienen der Wiederherstellung bei Datenverlust oder technischen Störungen. Weitere Informationen: Datenschutzhinweise von Hetzner.

Das Hosting dient der Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung für Betriebssicherheit, Missbrauchsabwehr und Datensicherung beruht auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Verfügbarkeit, Integrität und Wiederherstellbarkeit unserer Dienste. Die Anschriften der Anbieter bezeichnen deren Sitz und sind keine Aussage über den Standort jeder einzelnen Verarbeitung.

8c. Cloudflare bei der Bereitstellung der Statistik

Der unter Ziffer 5 beschriebene Statistikdienst unter a.dovare.de wird über Cloudflare, Inc., USA, ausgeliefert. Cloudflare vermittelt als vorgeschalteter Netzwerkdienst Anfragen, stellt zwischengespeicherte Inhalte bereit und schützt die Infrastruktur vor Angriffen. Dabei können IP-Adresse, angefragte URL, Zeitpunkt, Browser- und Geräteinformationen sowie die über diesen Dienst übertragenen Inhalte und Sicherheits- beziehungsweise Verbindungsprotokolle verarbeitet werden. Cloudflare kann außerdem technische Berichte über Verbindungsfehler erhalten.

Der Statistikdienst wird von unserer Website erst nach Ihrer Statistik-Einwilligung aufgerufen. Diese bleibt Rechtsgrundlage für die Statistik einschließlich ihrer Bereitstellung (Art. 6 Abs. 1 lit. a DSGVO und, soweit anwendbar, § 25 Abs. 1 TDDDG). Die erforderliche Absicherung und Fehleranalyse der angeforderten Verbindung dient unserem berechtigten Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Ein Widerruf ist über die Datenschutzeinstellungen möglich.

Cloudflare betreibt ein weltweites Netzwerk; eine Verarbeitung kann auch in den USA und weiteren Drittländern stattfinden. Das Cloudflare Data Processing Addendum beschreibt die eingesetzten Übermittlungsgarantien, insbesondere Standardvertragsklauseln. Weitere Angaben zu Datenverarbeitung und Empfängern finden Sie in der Datenschutzerklärung von Cloudflare.

9. Empfänger und Auftragsverarbeiter

Innerhalb von Westfalen Help erhalten nur die mit der Bearbeitung befassten Personen Zugriff auf Ihre Angaben. Externe Empfänger können die Hostinganbieter der Website und der selbst gehosteten Umami-Instanz, Google und seine Unterauftragsverarbeiter (für Google Ads auf jeder Seite im Consent Mode, darüber hinaus nach Ihrer Statistik- beziehungsweise Anzeigenmessungs-Einwilligung), der konfigurierte E-Mail-Dienst, bei der nativen App Sentry für technische Fehlerberichte (Ziffer 8a) und – nur soweit für Ihren Auftrag erforderlich oder von Ihnen veranlasst – beteiligte Fachunternehmen, Versicherer, Hausverwaltungen oder sonstige Projektbeteiligte sein. Auftragsverarbeiter werden gemäß Art. 28 DSGVO vertraglich gebunden. Eine darüber hinausgehende Weitergabe erfolgt nur aufgrund einer gesetzlichen Erlaubnis, Verpflichtung oder Ihrer ausdrücklichen Veranlassung.

10. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist. Nicht zu einem Auftrag führende Kontaktanfragen werden nach abschließender Bearbeitung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere, begrenzte Speicherung bestehen. Vertrags- und abrechnungsrelevante Unterlagen können insbesondere handels- und steuerrechtlichen Aufbewahrungsfristen von sechs, acht oder zehn Jahren unterliegen. Nach Ablauf der jeweils maßgeblichen Frist werden die Daten gelöscht oder anonymisiert.

11. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO, Datenübertragbarkeit nach Art. 20 DSGVO sowie Widerspruch nach Art. 21 DSGVO. Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@westfalenhelp.de. Bei begründeten Zweifeln an Ihrer Identität können wir zusätzliche Angaben zur Identitätsbestätigung anfordern.

12. Beschwerderecht

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für unseren Sitz ist insbesondere zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
www.ldi.nrw.de

13. Automatisierte Entscheidungen

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

14. Aktualisierung dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, Website-Funktionen, Dienstleister oder Verarbeitungsabläufe ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.