Datenschutzinformation
Information nach Art. 13 und Art. 14 DSGVO für Betriebe, die von mir einen Gestaltungsvorschlag per Brief erhalten, für alle, die die zugehörige Vorschauseite aufrufen, für alle, die sich daraufhin bei mir melden, für alle, die meine Website vorortseite.de aufrufen, und für alle, die mir einen Hinweis auf einen rechtswidrigen Inhalt auf einer von mir gehosteten Website schicken oder die ein solcher Hinweis betrifft. Sie gilt außerdem für alle, die mir aus einem anderen Anlass schreiben oder mich anrufen, etwa wegen einer Lieferung, einer Bewerbung oder einer Presseanfrage (Abschnitt 3 k).
1. Verantwortlicher
Vincent Leinhos, Webentwicklung
Mainzer Landstr. 148
60327 Frankfurt am Main
E-Mail: kontakt@vorortseite.de
Telefon: 0156 3015 1719
Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen.
2. Woher Ihre Daten stammen
Die Angaben, mit denen ich Ihnen den Brief schicke und den Entwurf erstelle, habe ich nicht bei Ihnen erhoben (Art. 14 DSGVO). Ich entnehme sie öffentlich zugänglichen Quellen:
- den Seiten der Website Ihres Betriebs (zum Beispiel Leistungen, Kontaktseite, „Über uns“, Kopf- oder Fußzeile), nicht dem Impressum,
- Ihrem Google-Unternehmensprofil (Google Maps, Google-Suche),
- Einträgen, die Ihr Betrieb selbst im Internet veröffentlicht: Profilen in sozialen Netzwerken wie Instagram oder Facebook und auf Branchen-, Vermittlungs-, Buchungs- oder Bestellportalen sowie Ihren Stellenanzeigen,
- Branchenverzeichnissen, in die Ihr Betrieb eingetragen ist,
- der offenen Kartendatenbank OpenStreetMap.
Öffentliche Bewertungen Ihres Betriebs lese ich nur, um zu sehen, was Ihre Kundschaft schätzt; in den Entwurf übernehme ich davon höchstens den Durchschnitt und die Zahl der Bewertungen mit Datum, nie Namen oder Zitate.
Auf einen Betrieb aufmerksam werde ich auch durch eigene Beobachtungen im Stadtteil (etwa ein Firmenschild) oder weil mir jemand Ihren Betrieb empfohlen hat; die Angaben für Brief und Entwurf entnehme ich auch dann den genannten Quellen. Welche Quelle ich für Firmenname, Ansprechpartner und Anschrift genutzt habe, steht im Datenschutzhinweis des Briefs.
Verarbeitete Datenkategorien: Firmenname, Rechtsform (soweit aus dem Firmennamen ersichtlich), Name und Anrede der Ansprechperson (soweit öffentlich genannt), Anschrift und Stadtteil des Betriebs, Gewerk, Telefonnummer und E-Mail-Adresse des Betriebs, Website-Adresse, Angaben zu Leistungen, Öffnungszeiten und Gestaltung der bestehenden Website, Angaben Ihres Betriebs über sich selbst (etwa Qualifikationen, Gründungsjahr, Mitgliedschaften, Sprachen, Stellenangebote und Schwerpunkte), Durchschnitt, Zahl und Themen Ihrer Bewertungen sowie Bildschirmfotos Ihrer Website und Ihrer Profile; dazu meine Einstufung, ob ein Vorschlag passt. Angaben aus dem Impressum verwende ich nicht für Werbezwecke und übernehme von dort nichts. Ich sehe dort nur nach, ob Sie der Zusendung von Werbung widersprochen haben (ebenso in Ihrer Datenschutzerklärung) und ob etwas dagegen spricht, Ihnen einen Vorschlag zu schicken.
Melden Sie sich bei mir, verarbeite ich zusätzlich die Angaben, die Sie mir dabei selbst mitteilen (Art. 13 DSGVO; siehe Abschnitt 3 d).
3. Zwecke und Rechtsgrundlagen
- Gestaltungsvorschlag per Post. Erstellung eines unverbindlichen Entwurfs für eine Website Ihres Betriebs und dessen einmalige postalische Zusendung. Dazu gehört die Auswahl der Betriebe, die ich anschreibe: Ich sehe mir öffentlich sichtbare Merkmale Ihrer Website und Ihres Betriebs an (zum Beispiel Alter, Umfang und Handy-Tauglichkeit der Website, Gewerk und Lage) und vermerke eine Einstufung, ob ein Vorschlag passt; ein Profil über Personen erstelle ich nicht, und eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Rechtsgrundlage: berechtigtes Interesse an Direktwerbung gegenüber Unternehmen, Art. 6 Abs. 1 lit. f DSGVO (vgl. Erwägungsgrund 47). Bei einem Teil der Betriebe versuche ich, wie im Brief angekündigt, bis zu dem dort genannten Datum einmal ohne Termin im Betrieb vorbeizukommen, um den Vorschlag zu zeigen; nicht, wenn Sie widersprochen oder den Besuch abgesagt haben oder am Betrieb oder Hauseingang erkennbar ist, dass Vertreterbesuche nicht erwünscht sind, und nie an einer reinen Wohnanschrift. Über den Besuch notiere ich Datum, Gesprächspartner (Name und Funktion, soweit genannt) und Ergebnis. Rechtsgrundlage ebenfalls Art. 6 Abs. 1 lit. f DSGVO.
- Vorschauseite. Bereitstellung des Entwurfs unter einem persönlichen Code und Protokoll der Aufrufe (Zeitpunkt, Code, mit einem täglich wechselnden Zufallswert gehashte IP-Adresse, gekürzter User-Agent; den Zufallswert lösche ich nach Ablauf des Tages) zur Missbrauchserkennung, als Nachweis und damit ich sehe, ob und wann der Vorschlag aufgerufen wurde (das erste Öffnen wird in meiner Kundenverwaltung angezeigt). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
- Kontaktaufnahme per E-Mail oder Telefon. Nur, wenn Sie auf der Vorschauseite oder auf anderem Weg ausdrücklich einwilligen, und nur für das, was im Wortlaut Ihrer Einwilligung steht: ein Angebot für Ihre neue Website, auch für Hosting, Betreuung und Google-Profil, und Nachfragen dazu. Dabei verarbeite ich die von Ihnen angegebene E-Mail-Adresse bzw. Telefonnummer und, nur bei einer Einwilligung in Anrufe, Ihre Wunschzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 1 und 2 UWG. Bei einer Einwilligung per E-Mail erhalten Sie eine Bestätigungs-E-Mail ohne Werbung (Double-Opt-in); der Link darin gilt sieben Tage, und bestätigt ist erst, wenn Sie auf der geöffneten Seite den Knopf drücken. Ohne Bestätigung verwende ich die Adresse nicht für das Angebot. Den Versand der Bestätigungs-E-Mail stütze ich auf mein berechtigtes Interesse, nachweisen zu können, dass die Einwilligung vom Inhaber der Adresse stammt, und fremde Adressen vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Zum Nachweis speichere ich Wortlaut und Zeitpunkt Ihrer Einwilligung (Einwilligungssatz, angekreuzter Weg mit Ihrer Angabe und der Hinweis darunter), Versandzeitpunkt und Inhalt der Bestätigungs-E-Mail (ohne den Link), den Zeitpunkt der Bestätigung, die mit einem Tageszufallswert gehashte IP-Adresse und den gekürzten User-Agent, auch nach einem Widerruf oder Widerspruch, dann nur noch, um die Einwilligung Ihnen und der Aufsichtsbehörde gegenüber belegen und Ansprüche abwehren zu können. Rechtsgrundlage dieser Nachweise ist nicht Ihre Einwilligung, sondern Art. 6 Abs. 1 lit. c i. V. m. Art. 5 Abs. 1 lit. a, Abs. 2 und Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Abwehr von Rechtsansprüchen); die Frist steht in Abschnitt 5. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail, Telefon oder Post (Kontaktangaben in Abschnitt 1) und, solange der Vorschlag abrufbar ist, auch direkt auf der Vorschauseite. Die Angabe ist freiwillig; der Vorschlag lässt sich auch ohne Rückmeldung vollständig ansehen. Ohne Einwilligung kann ich Ihnen ein Angebot nur auf Ihre eigene Nachfrage hin zusenden.
- Ihre Anfrage, Gespräch und Angebot. Wenn Sie sich bei mir melden, per Telefon, E-Mail, Post, über die Vorschauseite oder bei einem Besuch, verarbeite ich Ihre Angaben, um Ihre Fragen zu beantworten, Sie auf Ihren Wunsch zurückzurufen, Termine abzustimmen, Ihre Wünsche zu besprechen und Ihnen ein Angebot zu erstellen und zu übergeben. Dazu gehören Ihr Name, Ihre Kontaktangaben, die Anschrift des Betriebs, der Inhalt Ihrer Nachrichten (auch auf meiner Mailbox), Nummer und Zeitpunkt Ihrer Anrufe, meine Notizen zu Gesprächen, Anrufen und Besuchen sowie das Angebot selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage), soweit Sie selbst mein möglicher Vertragspartner sind; sind Sie für einen Betrieb tätig, der mein möglicher Vertragspartner ist, mein berechtigtes Interesse, die Anfrage dieses Betriebs zu bearbeiten (Art. 6 Abs. 1 lit. f DSGVO). Ihre Angaben sind freiwillig; ohne Anschrift und einen Weg, Sie zu erreichen, kann ich Ihnen kein Angebot erstellen. Beim Vorbereiten meiner Antworten hilft mir ein KI-Assistent (Abschnitt 4); jede Antwort lese und versende ich selbst. Anrufe und E-Mails, um die Sie mich nicht selbst gebeten haben, richten sich nach Buchstabe c. Die Fristen stehen in Abschnitt 5. Kommt ein Auftrag zustande, beschreiben meine Datenschutzhinweise für Kunden, die jedem Angebot beiliegen, wie ich Ihre Daten im Vertrag verarbeite (auch unter vorortseite.de/datenschutz-kunden).
- Fotos und Logo Ihrer Website im Entwurf. Damit Sie den Entwurf mit Ihren eigenen Bildern sehen, kann er Fotos und das Logo Ihrer bestehenden Website einblenden, ohne sie zu kopieren: Der Entwurf verweist nur auf die Adressen, unter denen Ihre Website die Bilder ausliefert, und Ihr Browser lädt sie beim Aufruf der Vorschauseite direkt von dort; was dabei übermittelt wird, steht in Abschnitt 6. Im Brief und in den Bildschirmfotos, mit denen ich beim Angebot den Stand des Vorschlags sichere, zeige ich sie nicht; dort stehen Platzhalter. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (mein berechtigtes Interesse, Ihnen den Entwurf mit Ihren eigenen Bildern zu zeigen, ohne sie zu kopieren).
- Werbesperrliste. Nach einem Widerspruch nehme ich Firmenname und Anschrift Ihres Betriebs (Straße, Postleitzahl) zusammen mit Datum und Weg des Widerspruchs in eine Sperrliste auf; ebenso, wenn Sie auf Ihrer Website (etwa im Impressum oder in der Datenschutzerklärung) der Zusendung von Werbung widersprochen haben, wenn an Ihrem Briefkasten oder Ihrer Tür ein Hinweis gegen Werbung angebracht ist oder wenn Sie die Annahme meines Briefs verweigert haben. Ich gleiche die Sperrliste vor jedem Brief und jedem Besuch ab und nutze sie für nichts anderes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 21 Abs. 3 und Art. 17 Abs. 3 lit. b DSGVO; mein berechtigtes Interesse ist, Ihren Widerspruch dauerhaft zu beachten.
- Versandprotokoll und Nachweise. Nach der Löschung Ihrer übrigen Betriebsdaten bewahre ich auf: Datum, Art, Textversion und Wortlaut jedes Briefs ohne Anschrift und Anrede, den Vermerk, dass ich vor dem Versand geprüft habe, ob Sie der Zusendung von Werbung widersprochen haben, und ob Sie reagiert haben, die Anschrift nur als Hashwert (mit einem geheimen Schlüssel gebildet), als Nachweis, dass und wie ich Sie informiert habe (Art. 5 Abs. 2 DSGVO), und zur Geltendmachung oder Abwehr von Rechtsansprüchen; dazu Firmenname, Postleitzahl und Gewerk, damit ich erkenne, ob und wann ich Sie bereits angeschrieben habe, und Sie nicht in kurzer Folge erneut unaufgefordert anschreibe; außerdem versendete Angebote als Nachweis bei Rechtsansprüchen; nach einem Löschverlangen den Nachweis Ihres Verlangens (Datum, Weg, bisheriger Stand wie Brief oder Angebot und was ich veranlasst habe, ohne Ihren Namen, die Anschrift nur als Hashwert), damit ich belegen kann, dass ich es erfüllt habe; ebenso nach einer Anfrage nach Auskunft den Nachweis der Anfrage und meiner Antwort (Datum, Weg, Ergebnis und Tag der Antwort, ohne Ihren Namen und ohne Ihre Anschrift). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse liegt in diesen Zwecken. Einwilligungsnachweise bewahre ich nach Buchstabe c auf. Die Fristen stehen in Abschnitt 5.
- Auslieferung, Sicherheit und Fehlersuche. Damit die Vorschauseite und meine übrigen Seiten erreichbar und vor Angriffen geschützt sind, verarbeitet mein Hosting-Anbieter Cloudflare in meinem Auftrag bei jedem Aufruf die Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Angaben Ihres Browsers (Programm, Betriebssystem), dazu das aus der IP-Adresse abgeleitete Land und den Netzbetreiber. Um das Durchprobieren von Vorschau-Codes zu verhindern, zählt Cloudflare die Aufrufe je IP-Adresse jeweils für eine Minute. Zu einem Teil der Aufrufe (Stichprobe) und zu abgewehrten Angriffen legt Cloudflare Sicherheitsprotokolle mit diesen Verbindungsdaten an, die ich einsehen kann. Für die Fehlersuche führe ich bei Cloudflare außerdem ein Fehlerprotokoll mit technischen Ereignissen und internen Kennungen, in das Cloudflare Angaben zum jeweiligen Aufruf übernehmen kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer erreichbaren, sicheren und fehlerfreien Seite).
- Datensicherung. Die Datenbank und die gespeicherten Dateien, etwa Briefe, sichere ich täglich, damit ich die Daten nach einem technischen Fehler, einem Ausfall oder einem versehentlichen Löschen wiederherstellen kann (vgl. Art. 32 Abs. 1 lit. b und c DSGVO); wo die Sicherungen liegen und wie lange gelöschte Daten darin enthalten bleiben, steht in Abschnitt 5. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; mein berechtigtes Interesse ist, meine Unterlagen verfügbar und wiederherstellbar zu halten.
- Hinweise auf rechtswidrige Inhalte auf Websites, die ich hoste. Als Hostingdienst nehme ich Hinweise auf rechtswidrige Inhalte auf den Websites meiner Kunden entgegen (Kontaktstelle im Impressum). Dabei verarbeite ich die Angaben der meldenden Person oder Einrichtung (Name, E-Mail-Adresse, Inhalt des Hinweises mit der Adresse des Inhalts, der Begründung und der Erklärung, die Angaben in gutem Glauben für richtig und vollständig zu halten), den gemeldeten Inhalt, die Angaben zum Betrieb, auf dessen Website er steht, und dazu, wer ihn dort veröffentlicht hat, sowie meine Prüfung, meine Entscheidung und meine Nachrichten zu dem Fall. Zwecke: den Eingang bestätigen, den Hinweis selbst und ohne automatisierte Mittel prüfen, entscheiden und die Entscheidung mitteilen (Art. 16 DSA), dem Betrieb eine Sperrung oder Entfernung begründen (Art. 17 DSA) und, wenn Informationen den Verdacht begründen, dass eine Straftat begangen wurde, begangen wird oder begangen werden könnte, die eine Gefahr für das Leben oder die Sicherheit von Personen darstellt, die Strafverfolgungsbehörden informieren (Art. 18 DSA). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 bis 18 der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste, DSA). Nach dem Abschluss bewahre ich die Unterlagen zum Fall auf, um gegenüber Behörden, etwa in einem Bußgeldverfahren, und gegenüber den Beteiligten belegen zu können, wie ich den Hinweis bearbeitet habe, und um Ansprüche abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; mein Interesse überwiegt, weil es nur um die Unterlagen zu diesem Fall geht, ich sie getrennt ablege, für nichts anderes verwende und nach fester Frist lösche (Abschnitt 5). Empfänger: Wer den Hinweis gegeben hat, erhält meine Entscheidung dazu, sofern eine elektronische Kontaktangabe vorliegt (Art. 16 Abs. 5 DSA). Der Betrieb erhält die Begründung einer Sperrung oder Entfernung; wer den Hinweis gegeben hat, erfährt er nur, falls das unbedingt nötig ist (Art. 17 Abs. 3 lit. b DSA), etwa wenn die meldende Person als Inhaberin eines verletzten Rechts handelt. Bei einem Verdacht nach Art. 18 DSA übermittle ich alle vorliegenden Informationen, auch den Hinweis, an die Strafverfolgungsbehörden: in der Regel an das Bundeskriminalamt als Zentralstelle (§ 13 DDG), bei akuter Gefahr an die Polizei. Den Fall lege ich in meinem Postfach ab; in meiner Kundenverwaltung steht nur ein Vermerk ohne Namen und Kontaktangaben der meldenden Person (Abschnitt 4). Die Angaben im Hinweis sind freiwillig; ohne Namen und E-Mail-Adresse kann ich den Eingang nicht bestätigen und die Entscheidung nicht mitteilen, ohne die Adresse des Inhalts und eine Begründung den Hinweis womöglich nicht prüfen. Bei Hinweisen auf sexuellen Missbrauch oder sexuelle Ausbeutung von Kindern, auf Kinderpornografie oder auf die Kontaktaufnahme zu Kindern für sexuelle Zwecke sind Name und E-Mail-Adresse nicht nötig (Art. 16 Abs. 2 lit. c DSA). Die Frist steht in Abschnitt 5.
- Andere Nachrichten und Anrufe. Schreiben Sie mir oder rufen Sie mich aus einem Anlass an, den die Buchstaben a bis j nicht erfassen, etwa wegen einer Lieferung oder Dienstleistung, einer Bewerbung oder einer Presseanfrage, verarbeite ich Ihre Angaben, um Ihre Nachricht zu bearbeiten und zu beantworten. Dazu gehören Ihr Name, Ihre Kontaktangaben, der Inhalt Ihrer Nachricht (auch auf meiner Mailbox), Nummer und Zeitpunkt Ihrer Anrufe und meine Antwort. Für meine Kunden gelten stattdessen die Datenschutzhinweise für Kunden (Buchstabe d). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag mit Ihnen oder seine Anbahnung geht; sonst, auch wenn Sie für ein Unternehmen schreiben, mein berechtigtes Interesse, Nachrichten an mich zu bearbeiten und zu beantworten (Art. 6 Abs. 1 lit. f DSGVO); für Nachrichten, die ich nach dem Steuerrecht aufbewahren muss, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG. Empfänger: mailbox.org (mein E-Mail-Postfach) und spusu (Anrufe und meine Mailbox); Einzelheiten in Abschnitt 4. Beim Vorbereiten meiner Antworten kann mir ein KI-Assistent helfen (Abschnitt 4); jede Antwort lese und versende ich selbst. Ihre Angaben sind freiwillig; ohne einen Weg, Sie zu erreichen, kann ich Ihnen nicht antworten. Die Fristen stehen in Abschnitt 5.
4. Empfänger und Auftragsverarbeiter
- Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Auftragsverarbeiter für die Speicherung Ihrer Betriebsdaten und des Entwurfs, die Erstellung der Abbildungen für Brief und Angebot, die Auslieferung der Seiten, Sicherungskopien, die Abwehr von Angriffen und die Sicherheits- und Fehlerprotokolle (Abschnitt 3 h). Datenbank, Dateispeicher und Sicherungskopien liegen ausschließlich in der EU. Ausgeführt werden die Seiten im weltweiten Rechenzentrumsnetz von Cloudflare, bei einem Aufruf in der Regel in einem Rechenzentrum in Ihrer Nähe; zeitgesteuerte Abläufe wie Briefversand und nächtliche Sicherung sowie die Erstellung der Abbildungen laufen auch in Rechenzentren außerhalb der EU, und die Protokolle speichert Cloudflare auch außerhalb der EU, insbesondere in den USA. Auftragsverarbeitungsvertrag (Cloudflare Customer Data Processing Addendum, abrufbar unter https://www.cloudflare.com/cloudflare-customer-dpa/); weitere Unterauftragsverarbeiter von Cloudflare: https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/.
- Druck- und Versanddienstleister für die Briefe, sofern ich nicht selbst drucke und versende; der Name steht dann im Brief. Auftragsverarbeitungsvertrag; die Druckdaten werden dort spätestens 60 Tage nach dem Versand gelöscht.
- Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland (KI-Assistent Claude): Auftragsverarbeiter beim Gestalten des Entwurfs und beim Vorbereiten meiner Antworten auf Ihre Nachrichten; dafür nutze ich einen KI-Assistenten. Für den Entwurf erhält er die Adresse und die Inhalte Ihrer bisherigen Website und der Einträge aus Abschnitt 2, die ich dafür lese (etwa Firmenname, Gewerk, Stadtteil, Leistungen, Öffnungszeiten, Kontaktangaben und Angaben Ihres Betriebs über sich selbst), und Bildschirmfotos davon; darauf können auch Namen oder Fotos von Personen zu sehen sein, bei Bewertungen auch die Namen der Bewertenden. Melden Sie sich bei mir (Abschnitt 3 d), erhält er für meine Antwort den Inhalt Ihrer Nachricht mit den Angaben darin, Ihren Namen als Ansprechperson und meine Notizen und Absprachen zum Stand Ihrer Anfrage; bei anderen Nachrichten (Abschnitt 3 k) den Inhalt Ihrer Nachricht mit den Angaben darin. Anthropic verarbeitet diese Angaben auch außerhalb der EU, insbesondere in den USA, durch Konzerngesellschaften und Dienstleister von Anthropic, und verwendet sie nicht zum Training von KI-Modellen. Auftragsverarbeitungsvertrag (Anthropic Data Processing Addendum als Teil der Commercial Terms, abrufbar unter https://www.anthropic.com/legal/data-processing-addendum) mit EU-Standardvertragsklauseln für Übermittlungen in Drittländer (Art. 46 Abs. 2 lit. c DSGVO); weitere Unterauftragsverarbeiter von Anthropic: https://www.anthropic.com/subprocessors. Rechtsgrundlage wie für den Entwurf selbst (Abschnitt 3 a): Art. 6 Abs. 1 lit. f DSGVO (mein berechtigtes Interesse, den Entwurf mit vertretbarem Aufwand zu erstellen); für meine Antworten wie für die Nachricht, auf die ich antworte (Abschnitt 3 d bzw. 3 k).
- Mailjet SAS, 43 rue de Dunkerque, 75010 Paris, Frankreich (Sinch-Gruppe): Versand der Bestätigungs-E-Mail bei einer Einwilligung per E-Mail (Double-Opt-in). Mailjet speichert die Daten in Rechenzentren in Deutschland und Belgien; für Support und Betrieb können Unterauftragsverarbeiter von Mailjet, darunter die Schwestergesellschaft Mailgun Technologies, Inc. (USA), im Einzelfall auch aus den USA und weiteren Drittländern darauf zugreifen. Öffnungs- und Klickverfolgung sind abgeschaltet. Auftragsverarbeitungsvertrag (Sinch Data Processing Agreement); weitere Unterauftragsverarbeiter: https://sinch.com/legal/data-protection-agreement-sub-processors/.
- Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin: mein E-Mail-Postfach. Dort empfange, versende und speichere ich meine E-Mails, auch die, mit denen ich Ihnen Entwurf und Angebot sende oder auf Ihre Nachricht antworte. Serverstandort Deutschland. Auftragsverarbeitungsvertrag.
- spusu Deutschland GmbH, Platzl 2, 80331 München: Mobilfunkanbieter meiner Geschäftsnummer: Für Anrufe und meine Mailbox nutze ich einen Mobilfunkanschluss von spusu. Dafür ist spusu als Telekommunikationsanbieter selbst verantwortlich, nicht mein Auftragsverarbeiter; welche Verbindungsdaten spusu etwa für die Abrechnung speichert und wie lange, richtet sich nach dem Telekommunikationsrecht. Gespräche zeichne ich nicht auf.
Für Übermittlungen in die USA gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO), unter dem Cloudflare, Inc. und Mailgun Technologies, Inc. zertifiziert sind. Die Auftragsverarbeitungsverträge enthalten zusätzlich EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die für Empfänger in anderen Drittländern gelten und dann, wenn eine Zertifizierung entfällt. Eine Kopie der Standardvertragsklauseln sende ich Ihnen auf Anfrage.
Ihre Daten werden nicht zu Werbezwecken an Dritte weitergegeben; Adresshandel findet nicht statt.
5. Speicherdauer
- Entwurf und Vorschauseite: bis zu dem im Brief genannten Datum, danach automatische Löschung, außer Sie melden sich vorher bei mir.
- Aufrufprotokoll der Vorschauseite: wird zusammen mit dem Entwurf gelöscht.
- Betriebsdaten ohne Reaktion: spätestens sechs Monate nach dem Brief; habe ich Ihnen keinen Brief geschickt, spätestens einen Monat nach der Erfassung. Danach bleiben, soweit vorhanden, nur das Versandprotokoll (die Anschrift nur als Hashwert), versendete Angebote, Einwilligungsnachweise und der Sperrlisteneintrag (Fristen jeweils unten), dazu Firmenname, Postleitzahl und Gewerk, solange einer dieser Nachweise besteht.
- Betriebsdaten nach Ihrer Rückmeldung, wenn kein Auftrag zustande kommt (zum Beispiel nach einem Gespräch oder Angebot): spätestens zwölf Monate nach dem letzten Kontakt (Ihre Nachricht oder Einwilligung, ein Telefonat, eine E-Mail, ein Gespräch vor Ort, ein Angebot oder ein Brief von mir); danach wie oben.
- Einwilligungsnachweise (Firmenname, Art, Wortlaut und Zeitpunkt der Einwilligung, angegebene E-Mail-Adresse bzw. Telefonnummer, gehashte IP-Adresse, gekürzter User-Agent, Versandzeitpunkt und Inhalt der Bestätigungs-E-Mail ohne den Link, Zeitpunkt der Bestätigung): drei Jahre ab Ende des Jahres, in dem Sie die Einwilligung widerrufen haben (ein Widerspruch gilt als Widerruf Ihrer Einwilligungen in E-Mail und Anruf) oder Ihre übrigen Betriebsdaten gelöscht wurden (Fristen oben), je nachdem, was zuerst eintritt; so lange kann ich die Einwilligung Ihnen und der Aufsichtsbehörde gegenüber nachweisen (regelmäßige Verjährungsfrist; Art. 17 Abs. 3 lit. b und e DSGVO). Kommt ein Auftrag zustande, beginnt die Frist für Einwilligungen in E-Mail und Anruf mit Ende des Jahres des Vertragsschlusses.
- Sperrliste (Firmenname, Anschrift, Datum und Weg des Widerspruchs): ohne feste Frist, solange ich Betriebe per Post oder persönlich werblich anspreche, weil Ihr Widerspruch nur so dauerhaft beachtet werden kann; gebe ich diese Werbung auf, lösche ich die Sperrliste. Früher lösche ich Ihren Eintrag, wenn Sie Ihren Widerspruch zurücknehmen oder die Löschung ausdrücklich verlangen; im zweiten Fall weise ich Sie vorher darauf hin, dass ich einen erneuten Brief dann nicht mehr sicher ausschließen kann.
- Versandprotokoll der Briefe (Datum, Art, Textversion und Wortlaut des Briefs ohne Anschrift und Anrede, der Vermerk zur Prüfung auf einen Werbewiderspruch, ob Sie reagiert haben; die Anschrift nur als Hashwert) sowie Firmenname, Postleitzahl und Gewerk: drei Jahre nach dem Versand. Solange Sie noch mit mir in Kontakt stehen, gehört der Brief zu Ihren Betriebsdaten (Fristen oben); kommt ein Auftrag zustande, gehört er zu den Vertragsunterlagen und wird mit diesen aufbewahrt und gelöscht.
- Versendete Angebote mit dem Stand des Vorschlags, auf den sie sich beziehen (Dateien und Bildschirmfotos): drei Jahre ab Ende des Jahres, in dem ich sie versandt habe, als Nachweis bei Rechtsansprüchen (regelmäßige Verjährungsfrist; Art. 17 Abs. 3 lit. e DSGVO), auch wenn Ihre übrigen Betriebsdaten vorher gelöscht werden oder Sie der Werbung widersprochen haben (nach einem Löschverlangen gilt die Zeile dazu unten); ab dann verwende ich sie nur noch zu diesem Zweck. Kommt ein Auftrag zustande, gehört das Angebot zu den Vertragsunterlagen und wird mit diesen aufbewahrt und gelöscht.
- Nach einem Widerspruch: Entwurf und Aufrufprotokoll sofort; übrige Betriebsdaten spätestens einen Monat nach dem Widerspruch, ausgenommen versendete Angebote, Einwilligungsnachweise und das Versandprotokoll (Fristen oben). Erhalten bleibt außerdem der Sperrlisteneintrag mit dem Nachweis des Widerspruchs (Frist siehe Sperrliste).
- Nach einem Löschverlangen: alles Übrige sofort, auch Firmenname, Postleitzahl, Gewerk, ob Sie reagiert haben, der Vermerk zur Prüfung auf einen Werbewiderspruch, die Inhalte meiner Briefe und meine Angebote an Sie samt Nummer, Paket und Preis. Es bleiben nur Datum, Art und Textversion der Briefe (die Anschrift nur als Hashwert; Frist oben), die Einwilligungsnachweise (Frist oben), der Sperrlisteneintrag nur, wenn Sie ihn wünschen, und der Nachweis Ihres Verlangens (Datum, Weg, bisheriger Stand wie Brief oder Angebot und was ich veranlasst habe, ohne Ihren Namen, die Anschrift nur als Hashwert) für drei Jahre ab Eingang. Besteht ein Vertrag, bleiben die Daten, die ich für ihn brauche, bis zu seinem Ende und die Vertragsunterlagen bis zum Ablauf ihrer Aufbewahrungsfrist; meine Einstufung aus der Zeit vor dem Auftrag, die Angabe, woher ich Ihre Anschrift hatte, und das Aufrufprotokoll der Vorschauseite lösche ich sofort.
- Nach einer Anfrage nach Auskunft (Art. 15 DSGVO): der Nachweis Ihrer Anfrage und meiner Antwort (Datum, Weg, Ergebnis und Tag der Antwort, ohne Ihren Namen und ohne Ihre Anschrift) für drei Jahre ab Eingang.
- Bei einem Rechtsstreit zwischen Ihnen und mir (etwa nach einer Abmahnung, einer Klage oder einer Beschwerde bei der Aufsichtsbehörde): Die Daten zu Ihrem Betrieb bewahre ich abweichend von den Fristen oben bis zu seinem Ende auf, ausgenommen Entwurf und Vorschauseite, die zum angekündigten Datum gelöscht werden. Ich brauche sie dann, um Rechtsansprüche geltend zu machen oder abzuwehren, und verwende sie nur dafür (Art. 17 Abs. 3 lit. e DSGVO); das gilt auch, wenn Sie in dieser Zeit die Löschung verlangen. Danach gelten wieder die Fristen oben; ist eine davon schon abgelaufen, lösche ich unverzüglich. Den Vermerk über den Streit (Anlass, Eingang, Frist und Ausgang) und meine Unterlagen dazu bewahre ich bis zum Ende des dritten Jahres nach seinem Abschluss auf.
- Hinweise auf rechtswidrige Inhalte (Abschnitt 3 j): der Hinweis mit Name, E-Mail-Adresse und Inhalt, meine Nachrichten dazu, die Entscheidung, die Begründung an den Betrieb, eine Meldung an die Strafverfolgungsbehörden und mein Vermerk bis zum Ende des dritten Jahres nach Abschluss des Falls. Abgeschlossen ist der Fall, sobald ich die Entscheidung mitgeteilt habe (ohne Kontaktangabe: sobald ich entschieden habe), nach einem Widerspruch, sobald ich das Ergebnis der erneuten Prüfung mitgeteilt habe. Kommt es dazu zu einem Rechtsstreit, gilt die Zeile dazu oben.
- Andere Nachrichten und meine Antworten darauf (Abschnitt 3 k): spätestens zwölf Monate nach dem letzten Kontakt. Gehört eine Nachricht zu einem Vertrag mit mir, etwa eine Bestellung oder Rechnung, bewahre ich sie so lange auf, wie das Steuerrecht es verlangt (§ 147 AO, § 14b UStG: Geschäftsbriefe sechs Jahre, Buchungsbelege acht Jahre, jeweils ab Ende des Jahres, in dem sie entstanden sind). Für Anrufliste und Mailbox gilt die Zeile dazu unten, bei einem Rechtsstreit die Zeile dazu oben.
- Versanddaten beim Versanddienst Mailjet (Abschnitt 4): Den Inhalt der Bestätigungs-E-Mail speichert Mailjet nach eigener Auskunft nur für die Zustellung, nicht darüber hinaus. Zu Ihrer Adresse legt Mailjet automatisch einen Kontakt an; ich lasse ihn spätestens zum Ende des Monats löschen, der auf den Versand folgt. Mailjet macht Ihre Adresse dann sofort unkenntlich und löscht den Kontakt innerhalb von 30 Tagen endgültig. Die übrigen Versanddaten (etwa Zeitpunkt, Betreff und Versandstatus) bleiben danach ohne Ihre Adresse in der Versandstatistik von Mailjet, bis Mailjet sie dort löscht, spätestens 13 Monate nach dem Versand. Der Nachweis der Bestätigungs-E-Mail bei mir hat die Frist der Einwilligungsnachweise (oben).
- E-Mails in meinem Postfach: mit denselben Fristen wie Ihre Betriebsdaten (oben); E-Mails, die als Nachweis dienen (etwa eine von Hand verschickte Bestätigungs-E-Mail oder ein versendetes Angebot), mit der Frist dieses Nachweises; kommt ein Auftrag zustande, gehören die Nachrichten dazu zu den Vertragsunterlagen.
- Anrufliste meiner Geschäftsnummer auf meinem Mobiltelefon und Nachrichten auf meiner Mailbox bei spusu (Abschnitt 4): Einmal im Monat lösche ich dort alles, was älter als einen Monat ist, also spätestens zwei Monate nach dem Anruf. Was ich aus einem Anruf oder einer Nachricht in meine Kundenverwaltung übernehme (etwa eine Notiz, einen Rückrufwunsch oder einen Widerspruch), hat die Frist dieser Angaben (oben); bei einem Rechtsstreit gilt die Zeile dazu oben.
- Kopien beim KI-Assistenten (Abschnitt 4): Was ich bei der Arbeit mit dem KI-Assistenten Claude eingebe und erhalte, löscht Anthropic nach eigenen Angaben in der Regel spätestens 30 Tage nach Eingang bzw. Erzeugung; den Verlauf dieser Arbeit auf meinem Rechner lösche ich spätestens 30 Tage nach der jeweiligen Arbeitssitzung. Diese Kopien können eine frühere Löschung Ihrer übrigen Daten also um bis zu 30 Tage überdauern.
- Verbindungsdaten bei Cloudflare (Abschnitt 3 h): Die Zählung je IP-Adresse gilt eine Minute; die Sicherheitsprotokolle und mein Fehlerprotokoll werden nach höchstens sieben Tagen automatisch gelöscht.
- Sicherungskopien (Abschnitt 3 i): Die Datenbank und die gespeicherten Dateien sichere ich täglich bei Cloudflare in der EU, wo sich die Datenbank außerdem für bis zu 30 Tage auf einen früheren Stand zurücksetzen lässt; eine zusätzliche Kopie der Datenbank bewahre ich verschlüsselt auf einem eigenen Datenträger auf und aktualisiere sie regelmäßig. Gelöschte Daten bleiben in allen diesen Sicherungen noch höchstens 30 Tage enthalten; danach werden sie gelöscht. Ich verwende die Sicherungen ausschließlich, um nach einem Fehler oder Ausfall einen früheren Stand wiederherzustellen; stelle ich einen früheren Stand wieder her, lösche ich darin enthaltene Daten, deren Löschung inzwischen fällig war, erneut und beachte einen inzwischen erklärten Widerspruch.
6. Cookies und Analyse-Dienste
Die Vorschauseite setzt im normalen Betrieb keine Cookies, nutzt keine Analyse-Dienste und lädt keine Inhalte von Drittservern. Einzige Ausnahme sind Fotos und das Logo, die von der bestehenden Website Ihres Betriebs eingebunden werden, ohne sie zu kopieren: Ihr Browser ruft sie direkt bei dem Server ab, von dem Ihre Website sie ausliefert (bei Baukasten-Websites ist das ein Server des Baukasten-Anbieters), und übermittelt dabei, wie bei jedem Website-Aufruf, Ihre IP-Adresse und technische Angaben Ihres Browsers sowie als Herkunft nur die Adresse meiner Website ohne Ihren Code. Was dieser Server speichert und ob er in Ihrem Browser Cookies setzt, bestimmt sein Betreiber, also Ihr Betrieb oder dessen Hosting- oder Baukasten-Anbieter. Rechtsgrundlage für die Einbindung ist Art. 6 Abs. 1 lit. f DSGVO (mein berechtigtes Interesse, Ihnen den Entwurf mit Ihren eigenen Bildern zu zeigen, ohne sie zu kopieren; Abschnitt 3 e). Welche Aufrufe ich protokolliere, steht in Abschnitt 3 b; welche Verbindungsdaten mein Hosting-Anbieter Cloudflare verarbeitet und wie lange, in Abschnitt 3 h und 5.
Sicherheitsabfrage bei Angriffen: Werden meine Seiten angegriffen, etwa mit einer Flut automatisierter Aufrufe, kann für die Dauer des Angriffs eine Sicherheitsabfrage meines Hosting-Anbieters Cloudflare vorgeschaltet sein. Cloudflare schaltet sie bei einem erkannten Angriff selbst ein, oder ich schalte sie ein. Die Abfrage prüft, ob ein Mensch die Seite aufruft: Ein Skript der Abfrage liest dafür Merkmale Ihres Browsers aus, und Cloudflare kann technisch notwendige Cookies setzen, vor allem „cf_clearance“ (speichert das Ergebnis der Prüfung, höchstens 30 Minuten) und „__cf_bm“ (läuft nach 30 Minuten ohne Aktivität ab), dazu Cookies, deren Namen mit „cf_chl“ beginnen (Fehlersuche der Abfrage). Das ist unbedingt erforderlich, um Ihnen die Seite während eines Angriffs bereitzustellen; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage der damit verbundenen Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (mein berechtigtes Interesse, die Seiten vor Angriffen zu schützen und erreichbar zu halten). Nach dem Angriff entfällt die Abfrage wieder.
7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Auf Ihren Antrag antworte ich innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO); was nach einer Löschung als Nachweis bleibt, steht in Abschnitt 5. Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für mich zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden (Hausanschrift Wilhelmstraße 7, 65185 Wiesbaden).
8. Widerspruchsrecht (Art. 21 DSGVO)
Sie können der Verarbeitung Ihrer Daten für Direktwerbung jederzeit ohne Angabe von Gründen widersprechen. Dann erhalten Sie keine Werbung mehr von mir, weder per Post noch durch einen Besuch, Ihr Entwurf wird gelöscht, und Firmenname und Anschrift Ihres Betriebs werden in eine Sperrliste aufgenommen, damit Sie nicht erneut angeschrieben werden. Formlos per E-Mail an kontakt@vorortseite.de, telefonisch unter 0156 3015 1719, per Post an Vincent Leinhos, Mainzer Landstr. 148, 60327 Frankfurt am Main oder direkt über den Link auf der Vorschauseite.
Gegen die übrige Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, zum Beispiel das Aufruf- oder das Versandprotokoll, können Sie aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO).
9. Stand
Textversion DS-1.0, Oktober 2026.