Datenschutzerklärung

Verantwortlicher

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir als Betreiber der Plattform Webdach verarbeiten. Verantwortlich ist: IT-Services und Medien Luca Neuner Eichelberger Straße 33, 74889 Sinsheim E-Mail: lucaneuner441@gmail.com Telefon: +49 1525 3975468

Wofür diese Erklärung gilt

Sie gilt für das Portal unter app.webdach.de und für die Anmeldung auf den Vorschau-Adressen der Form <kürzel>.webdach.de. Für unsere Website webdach.de gilt ihre eigene Datenschutzerklärung unter webdach.de/datenschutz. Sie gilt nicht für die Websites unserer Kunden. Jede dieser Websites hat eine eigene Datenschutzerklärung ihres Betreibers. Im Portal pflegen unsere Kunden außerdem Stammdaten ihrer Websites und lesen Anfragen aus ihren Kontaktformularen. Diese Daten verarbeiten wir nur im Auftrag des jeweiligen Kunden (Art. 28 DSGVO). Verantwortlich dafür ist der Kunde. Seine Datenschutzerklärung finden Sie auf seiner Website.

Hosting und Server-Logs

Website und Portal werden bei der Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA (im Folgenden „Vercel“) gehostet. Bei jedem Aufruf verarbeitet Vercel die Daten, die technisch nötig sind, um die Seiten auszuliefern, und speichert sie in Server-Logs: - Ihre IP-Adresse, - Datum und Uhrzeit des Aufrufs, - die aufgerufene Adresse und, falls Ihr Browser sie übermittelt, die zuvor besuchte Seite, - die Kennung Ihres Browsers (User-Agent), - technische Angaben zur Antwort und zur verschlüsselten Verbindung, etwa den Statuscode. Zweck und Rechtsgrundlage: Auslieferung, Sicherheit und Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und funktionierender Betrieb. Eigene Zwecke von Vercel: Einen Teil dieser Daten, etwa Protokoll- und Nutzungsdaten, verarbeitet Vercel auch für eigene Zwecke, zum Beispiel für die Sicherheit und die Verbesserung seiner Dienste. Dafür ist Vercel selbst verantwortlich. Es gilt die Datenschutzerklärung von Vercel: https://vercel.com/legal/privacy-policy Speicherdauer: Die Server-Logs, auf die wir zugreifen können, löscht Vercel nach einem Tag. Darüber hinaus bewahrt Vercel Protokolldaten nur so lange auf, wie es für Sicherheit und Betrieb nötig ist. Übermittlung in Drittländer: Die Server, die die Seiten erzeugen, stehen in Frankfurt am Main. Vercel hat seinen Sitz in den USA und kann Daten auch dort und in anderen Ländern verarbeiten. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Außerdem haben wir mit Vercel Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie auf Anfrage.

Einladung und Zugang zum Portal

Ein Zugang zum Portal entsteht nur über eine Einladung. Eine Selbstregistrierung gibt es nicht. Einladung: Wir verarbeiten - die E-Mail-Adresse der eingeladenen Person, - die Organisation und die Rolle (Inhaber oder Mitglied), - wer eingeladen hat, - Zeitpunkt und Status der Einladung. Ihre E-Mail-Adresse haben wir von der Organisation erhalten, für die Sie eingeladen werden. Der geheime Code im Einladungslink wird nur als Hash gespeichert. Die Einladung gilt 7 Tage. Abgelaufene, zurückgezogene und angenommene Einladungen löschen wir 30 Tage danach. Konto: Wir verarbeiten Ihre E-Mail-Adresse, Ihr Passwort, Ihre Mitgliedschaften und Rollen sowie die Zeitpunkte von Anlage und Anmeldung. Das Passwort wird nur als Hash gespeichert, also nicht im Klartext. Prüfung des Passworts: Wenn Sie ein Passwort festlegen, prüft die Anmeldung, ob es in bekannten Datenlecks vorkommt. Dafür wird nur der Anfang eines Hashwerts Ihres Passworts an den Dienst „Have I Been Pwned“ übermittelt, nicht das Passwort selbst und keine Angaben zu Ihrer Person. E-Mail-Adresse ändern: Sie können Ihre E-Mail-Adresse im Portal ändern. Dafür schicken wir je einen Bestätigungslink an die bisherige und an die neue Adresse. Bis beide bestätigt sind, speichern wir die neue Adresse als „angefordert“; danach ersetzt sie die bisherige, und die bisherige Adresse bekommt einen Hinweis auf die Änderung. *(Issue 35, anwaltlich prüfen.)* Rollenwechsel: Ändert ein Inhaber Ihrer Organisation oder der Plattform-Betreuer Ihre Rolle, informieren wir Sie per E-Mail. *(Issue 35, anwaltlich prüfen.)* Wer Ihre Daten sieht: Ihre E-Mail-Adresse und Rolle sehen die Inhaber und Mitglieder Ihrer Organisation und wir als Plattform-Betreuer. Zweck und Rechtsgrundlage: Wir stellen den Kunden das Portal bereit, damit sie die Daten ihrer Websites pflegen können. - Sind Sie selbst unser Vertragspartner, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. - Handeln Sie für einen Kunden, etwa als Mitarbeiterin oder Mitarbeiter, ist es Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Kunden ist ein sicherer Zugang zu den vereinbarten Leistungen. Pflicht zur Angabe: Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse und Passwort können Sie das Portal aber nicht nutzen. Ohne Angabe Ihres Namens können Sie keine Bestätigung abgeben. Speicherdauer: - Ihr Konto bleibt bestehen, solange Sie Mitglied mindestens einer Organisation sind. - Werden Sie aus einer Organisation entfernt oder verlassen Sie sie selbst und sind Sie in keiner weiteren Mitglied, löschen wir Ihr Konto 30 Tage danach. - Endet der letzte Vertrag einer Organisation über eine Website, entfernen wir 30 Tage danach alle Mitgliedschaften und löschen Konten ohne weitere Mitgliedschaft. - Haben Sie eine Bestätigung abgegeben, sperren wir Ihr Konto in diesen Fällen, statt es zu löschen: Es lässt sich nicht mehr nutzen, und Ihr Passwort wird ersetzt. E-Mail-Adresse und Konto-Kennung bleiben als Nachweis zu den Bestätigungen. - In Bestätigungsprotokollen bleiben Name und Konto-Kennung bis zum Ende ihrer Aufbewahrungsfrist (siehe unten).

Anmeldung und Sitzung (Cookie)

Wenn Sie sich anmelden, speichern wir ein Cookie in Ihrem Browser. Es enthält einen Sitzungsschlüssel, an dem das Portal Sie nach der Anmeldung erkennt. Das Cookie gilt für webdach.de und alle Adressen darunter, damit Sie als Mitglied auch die Vorschau Ihrer Website sehen. Auf den Domains der Kunden-Websites setzen wir keine Cookies. Rechtsgrundlage: Das Cookie ist für den Dienst, den Sie ausdrücklich nutzen, unbedingt erforderlich. Eine Einwilligung braucht es dafür nicht (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung der Sitzungsdaten stützen wir auf dieselbe Rechtsgrundlage wie Ihren Zugang (siehe oben). Sitzungsdaten bei Supabase: Zu jeder Sitzung speichert unser Datenbank-Dienstleister Supabase (siehe unten) Ihre IP-Adresse und die Kennung Ihres Browsers. Speicherdauer: Die Sitzung endet, wenn Sie sich abmelden, spätestens nach 30 Tagen. Dann werden auch das Cookie und die Sitzungsdaten gelöscht. Anmeldeprotokolle: Supabase protokolliert außerdem Anmeldungen und Zugriffe auf die Schnittstelle, dabei auch IP-Adresse und Browser-Kennung. Diese Protokolle werden nach 7 Tagen gelöscht. Zweck ist die Sicherheit des Portals. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Bestätigungen und Bestätigungsprotokoll

Inhaber bestätigen im Portal den AV-Vertrag, die AGB, das Impressum und die Datenschutzerklärung ihrer Website. Damit wir später nachweisen können, wer wann welchem Text zugestimmt hat, protokollieren wir jede Bestätigung: - Ihr Konto und den Namen, den Sie bei der Bestätigung angeben, - Ihre Erklärung, für die Firma vertretungsberechtigt zu sein, - Organisation und gegebenenfalls Website, - Art und Fassung des Dokuments, den Hash und eine Kopie des genauen Textes, - Datum und Uhrzeit, - Ihre IP-Adresse. Wer Angaben speichert, die im Impressum einer Website erscheinen, bestätigt damit ihre Richtigkeit. Auch das protokollieren wir auf dieselbe Weise. Nach jeder Bestätigung schicken wir Ihnen eine Bestätigungsmail mit dem vollständigen Text. Zweck und Rechtsgrundlage: Wir wollen den Vertragsschluss und die Zustimmung nachweisen können, auch gegenüber Aufsichtsbehörden (Art. 5 Abs. 2 und Art. 28 Abs. 9 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Abschluss und Inhalt der Verträge beweisen zu können. Soweit Sie selbst unser Vertragspartner sind, ist es auch Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Protokolle werden nicht geändert. Wir bewahren sie bis zum Ende des dritten Kalenderjahres nach dem Ende des letzten Vertrags mit der Organisation auf (regelmäßige Verjährung, §§ 195, 199 BGB). Längere gesetzliche Aufbewahrungspflichten bleiben unberührt. Die Protokolle sind von der Löschung 30 Tage nach Vertragsende ausgenommen.

E-Mails der Plattform

Wir verschicken E-Mails über die Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande (im Folgenden „Lettermint“): - Einladungen, - E-Mails zum Zurücksetzen des Passworts und zum Ändern der E-Mail-Adresse, - Hinweise, wenn sich Ihre Rolle in einer Organisation ändert, - Bestätigungsmails, - Berichte der Statistik, wenn Sie sie im Portal eingestellt haben (siehe unten), - im Auftrag unserer Kunden die Weiterleitungen von Anfragen aus ihren Kontaktformularen. Dabei verarbeitet Lettermint Empfängeradresse, Inhalt und Zeitpunkt der E-Mail. Lettermint verarbeitet die Daten nur in der EU und speichert versendete E-Mails für 28 Tage. Ob und wann eine E-Mail geöffnet oder ein Link darin angeklickt wird, wird nicht erfasst. Rechtsgrundlage: Sie richtet sich nach dem Zweck. Für Einladungen, Passwort-E-Mails, E-Mails zum Ändern der Adresse und Hinweise zum Rollenwechsel gilt dieselbe wie für den Zugang, für Bestätigungsmails dieselbe wie für Bestätigungen (siehe oben). Weiterleitungen versenden wir im Auftrag des Kunden (Art. 28 DSGVO).

Bericht der Statistik per E-Mail

Ist für eine Website das Modul Statistik aktiv, können Sie im Portal für sich einen Bericht per E-Mail einstellen, wöchentlich oder monatlich. Voreingestellt ist er aus. Dafür speichern wir, wer welchen Bericht für welche Website bekommt und für welchen Zeitraum er zuletzt verschickt wurde. Der Bericht enthält nur Summen der Seitenaufrufe, keine Daten über Besucher der Website. Er enthält keine Zählpixel, keine Bilder von anderen Servern und keine umgeleiteten Links. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, weil Sie den Bericht als Teil unserer Leistung selbst einstellen; soweit Sie für einen Kunden handeln, Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Ihnen die gewünschten Zahlen zu schicken. Speicherdauer: Bis Sie den Bericht im Portal abstellen, Ihr Zugang zur Organisation endet oder Ihr Konto gelöscht wird. Abstellen können Sie ihn jederzeit im Reiter „Statistik“ der Website.

SEO-Scan mit Google PageSpeed Insights

Ist für eine Website das Modul SEO-Scan aktiv, lassen wir sie einmal pro Woche und auf Wunsch im Portal von Google PageSpeed Insights prüfen, einem Dienst von Google. Dafür schickt unser Server Google nur die öffentliche Adresse der Website. Daten über Sie oder über Besucher der Website erhält Google dabei nicht. Google ruft die Website anschließend selbst auf, wie es auch eine Suchmaschine tut. Das Ergebnis, also Bewertungen und Hinweise zur Website, speichern wir in unserer Datenbank, je Website die letzten 12 Prüfungen pro Ansicht (Handy, Computer). Wer eine Prüfung im Portal startet, speichern wir nicht. Rechtsgrundlage: Soweit die Adresse einer Website einen Bezug zu einer Person hat, etwa einen Namen in der Domain, ist es Art. 6 Abs. 1 lit. b DSGVO, weil die Prüfung Teil unserer Leistung für den Kunden ist.

Datenbank

Die Daten des Portals speichern wir in einer Datenbank bei der Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 (im Folgenden „Supabase“). Supabase stellt auch die Anmeldung bereit. Datenbank und Sicherungen liegen in Frankfurt am Main. Sicherungen werden täglich erstellt und nach 7 Tagen gelöscht. Übermittlung in Drittländer: Supabase hat seinen Sitz in Singapur. Für Wartung und Support kann Supabase auch aus anderen Ländern auf die Daten zugreifen, etwa aus den USA. Für Singapur gibt es keinen Angemessenheitsbeschluss der EU-Kommission, und Supabase ist nicht unter dem EU-US Data Privacy Framework zertifiziert. Deshalb haben wir mit Supabase Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhalten Sie auf Anfrage.

Verträge und Abrechnung

Für jede Website eines Kunden führen wir einen Vertrag mit Preisen, Startdatum und Notizen. Dazu verarbeiten wir die Kontaktdaten der Ansprechpersonen des Kunden. Rechnungen erstellen wir mit lexoffice (Haufe Service Center GmbH, Freiburg). Rechtsgrundlage: Für die Durchführung des Vertrags ist es Art. 6 Abs. 1 lit. b DSGVO. Für die Aufbewahrung ist es Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 Abgabenordnung. Speicherdauer: Bis zum Ende der gesetzlichen Aufbewahrungsfristen. Je nach Unterlage sind das 6, 8 oder 10 Jahre, jeweils ab dem Ende des Kalenderjahres.

Kontakt per E-Mail oder Telefon

Schreiben Sie uns eine E-Mail oder rufen Sie uns an, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. E-Mails an uns werden bei unserem E-Mail-Anbieter Google (Gmail; Google Ireland Limited, Dublin, Irland) gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihr Anliegen einen Vertrag betrifft. Sonst ist es Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Anfragen zu beantworten. Wir löschen die Daten, sobald wir sie nicht mehr brauchen und keine Aufbewahrungspflicht besteht.

Keine Analyse, kein Tracking

Wir nutzen keine Werkzeuge zur Analyse oder zum Tracking und binden keine Inhalte von Drittanbietern ein. Außer dem Sitzungs-Cookie nach der Anmeldung setzen wir keine Cookies. Eine Ausnahme gibt es nur zur Abwehr von Angriffen: Erkennt Vercel einen Angriff, kann Vercel Ihren Browser vor dem Aufruf prüfen und das Ergebnis für eine Stunde in Ihrem Browser speichern. Das ist für den Schutz unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Ihre Rechte

Sie haben das Recht, - Auskunft über die Daten zu verlangen, die wir über Sie verarbeiten (Art. 15 DSGVO), - unrichtige Daten berichtigen zu lassen (Art. 16 DSGVO), - die Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO), - die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO), - Daten, die Sie uns bereitgestellt haben, in einem gängigen, maschinenlesbaren Format zu erhalten (Art. 20 DSGVO). Wenden Sie sich dafür an die Kontaktdaten im Abschnitt „Verantwortlicher“. Betrifft Ihr Anliegen Daten, die wir für einen Kunden verarbeiten, leiten wir es an den Kunden weiter. Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

Widerspruchsrecht

Verarbeiten wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie dem jederzeit widersprechen, wenn sich aus Ihrer besonderen Situation Gründe dafür ergeben (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.