Datenschutzhinweise für Kunden

Information nach Art. 13 und 14 DSGVO für Betriebe, die ein Angebot von mir erhalten oder mich beauftragen, und für die Personen, die für sie mit mir in Kontakt stehen.

1. Worum es geht

Diese Hinweise informieren nach Art. 13 und 14 DSGVO darüber, wie ich personenbezogene Daten verarbeite, wenn ein Betrieb ein Angebot von mir erhält oder mich mit seiner Website beauftragt: die Daten des Inhabers und der Personen, die für den Betrieb mit mir in Kontakt stehen, etwa Ansprechpersonen, Vertretungsberechtigte oder die Person, die das Angebot annimmt. Sie gelten ab dem Angebot, während des Vertrags und für die Aufbewahrung danach.

Die Hinweise sind kein Bestandteil des Vertrags; sie liegen dem Angebot nur zur Information bei.

Was vor dem Angebot geschieht (Brief, Vorschauseite, Einwilligungen), beschreibt meine Datenschutzinformation unter vorortseite.de/datenschutz. Wie ich die Daten der Personen verarbeite, die sich im Bearbeitungsmodus anmelden, beschreiben meine Datenschutzhinweise für den Bearbeitungsbereich unter bearbeiten.vorortseite.de/datenschutz.

Die Inhalte Ihrer Website, also Texte, Fotos, Anfragen über das Kontaktformular und die Angaben zu Personen darin, und, wenn Ihre Website Besuche zählt, die Angaben der Besucher dafür verarbeite ich nur in Ihrem Auftrag nach dem Vertrag zur Auftragsverarbeitung; verantwortlich dafür sind Sie. Diese Hinweise betreffen sie nicht.

2. Verantwortlicher

Vincent Leinhos, Webentwicklung, Mainzer Landstr. 148, 60327 Frankfurt am Main, E-Mail kontakt@vorortseite.de, Telefon 0156 3015 1719.

Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen.

3. Welche Daten ich verarbeite und woher sie stammen

a) Vertragsdaten: Firmenname und Rechtsform, Name des Inhabers oder der vertretungsberechtigten Person, Anschrift, das Angebot mit Nummer, Paket, Preis, laufender Leistung und den Fassungen der Vertragsunterlagen, der Stand des Vorschlags, auf den sich das Angebot bezieht (seine Dateien und Bildschirmfotos), die Annahme mit Datum, Weg, Name und Funktion der annehmenden Person und gegebenenfalls ihrer Unterschrift, Abnahme, Bestätigungen für den Livegang, Änderungen und Kündigung;

b) Kontaktdaten: Name, Funktion, E-Mail-Adresse und Telefonnummer der Personen, die für Ihren Betrieb mit mir in Kontakt stehen;

c) Rechnungs- und Zahlungsdaten: Rechnungen mit Nummer, Leistungen und Beträgen, Zahlungseingänge mit den Angaben meines Kontoauszugs (Name des Zahlenden, Bankverbindung, Betrag, Verwendungszweck), Mahnungen;

d) Kommunikation: E-Mails, Briefe und Nachrichten, Nummer und Zeitpunkt von Anrufen, Nachrichten auf meiner Mailbox, meine Notizen zu Gesprächen und Anrufen, Aufgaben und Vermerke zum Stand des Auftrags in meiner Kundenverwaltung, die Arbeitszeit für Änderungen;

e) Angaben für Impressum, Datenschutzerklärung und Domain, die Sie mir geben, und Zugänge für die Umstellung Ihrer Domain;

f) im Bearbeitungsmodus: Zugänge, Anmeldungen und Vermerke zu Änderungen; Einzelheiten stehen in den Datenschutzhinweisen für den Bearbeitungsbereich;

g) bei Betreuung Plus: den Zugriff auf Ihr Google-Unternehmensprofil und, soweit eingerichtet, auf die Google Search Console Ihrer Domain; für den Quartals-Review übernehme ich daraus Zahlen zu Suchanfragen, Aufrufen, Klicks, Anrufen und Routenanfragen in einen Bericht an Sie;

h) Nachweise: Ihre Zustimmung zu einer Referenz und ein Widerruf, Vermerke zu einem Widerspruch, einer Auskunft, einem Löschverlangen oder einem Rechtsstreit.

Die Daten erhalte ich von Ihnen oder von Personen, die für Ihren Betrieb handeln, Zahlungsdaten zusätzlich von meiner Bank. Angaben aus der Zeit vor dem Angebot stammen aus den Quellen, die meine Datenschutzinformation nennt.

4. Zwecke und Rechtsgrundlagen

a) Angebot und Vertrag: das Angebot erstellen und übergeben, die Annahme bestätigen, die Website erstellen, Abnahme und Livegang, die laufende Leistung (Hosting, Betreuung, Betreuung Plus) mit der Jahresübersicht der Besucherzahlen per E-Mail, wenn Ihre Website Besuche zählt, Zusatzarbeit, Kündigung, Export und Übergabe sowie Ihre Fragen beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen), soweit Sie selbst mein Vertragspartner sind; handeln Sie für einen Betrieb, der mein Vertragspartner ist, etwa als Geschäftsführer oder Beschäftigter, mein berechtigtes Interesse, den Vertrag mit ihm anzubahnen und zu erfüllen (Art. 6 Abs. 1 lit. f DSGVO).

b) Rechnungen, Buchhaltung und Aufbewahrung: Rechnungen stellen, Zahlungen zuordnen, Buchhaltung und Steuererklärungen, gesetzliche Aufbewahrung von Rechnungen und Geschäftsunterlagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG.

c) Nachweise und Rechtsansprüche: Ich bewahre die Vertragsunterlagen und den Stand des Vorschlags auf, um belegen zu können, was vereinbart und geleistet wurde, und um Ansprüche aus dem Vertrag geltend zu machen oder abzuwehren, etwa wegen Mängeln, die noch Jahre nach der Abnahme geltend gemacht werden können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mein Interesse überwiegt, weil es nur um Unterlagen zu Ihrem Vertrag geht, die Sie selbst kennen, ich sie für nichts anderes verwende und nach festen Fristen lösche (Abschnitt 6). Kommt es zu einem Rechtsstreit, verwende ich die Daten, die er braucht, bis zu seinem Ende nur dafür (Art. 17 Abs. 3 lit. e DSGVO).

d) Informationen per E-Mail: An die E-Mail-Adresse, die Sie mir für diesen Auftrag nennen, schicke ich Ihnen gelegentlich Informationen zu meinen eigenen, ähnlichen Leistungen (Hosting, Betreuung, Betreuung Plus, Zusatzarbeit). Sie können dem jederzeit widersprechen, zum Beispiel per E-Mail an kontakt@vorortseite.de, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG; mein berechtigtes Interesse ist, Sie als Kunden über meine eigenen, ähnlichen Leistungen zu informieren. Nach einem Widerspruch schicke ich Ihnen keine solchen Informationen mehr; Nachrichten zu Ihrem Vertrag erhalten Sie weiterhin.

e) Referenz: Als Referenz zeige ich Ihre Website nur, wenn Sie dem gesondert in Textform zugestimmt haben (Allgemeine Geschäftsbedingungen, „Hinweis im Fußbereich und Referenz“). Dafür verwende ich, was ich Ihnen mit meiner Bitte darum nenne, höchstens Firmenname, Gewerk, Stadtteil, Logo und Bildschirmfotos der Website mit dem Monat der Abnahme, auch neben einem verkleinerten Bildschirmfoto Ihrer bisherigen Website (Vorher und Nachher). Abgebildete Personen, Namen von Mitarbeitenden und Fotos, die Sie nicht selbst aufgenommen haben, mache ich unkenntlich, auf der Vorher-Ansicht alle Fotos und Hinweise auf den bisherigen Gestalter. Ich zeige die Referenz nur dort, wo ich es Ihnen mit meiner Bitte nenne, höchstens auf meiner Website, in meinem Google-Unternehmensprofil, in Briefen, Angeboten und Präsentationen, also auch öffentlich. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig und ändert nichts an Preis und Leistung.

f) Betrieb und Sicherheit: Kundenverwaltung, Postfach und Dateispeicher laufen bei den Dienstleistern aus Abschnitt 5; die Datenbank und die gespeicherten Dateien sichere ich täglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (mein berechtigtes Interesse an sicheren, verfügbaren und wiederherstellbaren Unterlagen, vgl. Art. 32 DSGVO).

Meine Abwägung der berechtigten Interessen nenne ich Ihnen auf Anfrage.

Pflicht zur Angabe: Für Angebot und Vertrag brauche ich den Namen Ihres Betriebs, seine Anschrift und einen Weg, Sie zu erreichen; Name und Anschrift muss jede Rechnung nennen (§ 14 UStG, § 34a UStDV). Ohne diese Angaben kann ich keinen Vertrag schließen. Die Angaben für Impressum und Datenschutzerklärung gehören zu Ihrer Mitwirkung nach dem Vertrag; ohne sie geht die Website nicht online. Freiwillig sind die Zustimmung zu einer Referenz und der Zugriff auf Ihr Google-Unternehmensprofil und die Search Console; ohne diesen Zugriff entfallen die Beiträge und die Zahlen aus dem Profil bzw. die Suchdaten im Quartals-Review.

Keine automatisierte Entscheidung: Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO, einschließlich Profiling, findet nicht statt.

5. Empfänger und Übermittlung in Drittländer

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA: Auftragsverarbeiter für meine Kundenverwaltung, die Ablage von Angeboten und des Stands des Vorschlags, das Erstellen der Bildschirmfotos, das Hosting Ihrer Website, Sicherungskopien, die Abwehr von Angriffen und Protokolle. Datenbank, Dateispeicher und Sicherungskopien liegen ausschließlich in der EU. Ausgeführt wird im weltweiten Rechenzentrumsnetz von Cloudflare, und die Protokolle speichert Cloudflare auch außerhalb der EU, insbesondere in den USA. Auftragsverarbeitungsvertrag (Cloudflare Customer Data Processing Addendum).

Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin: mein E-Mail-Postfach, auch für Angebote, Rechnungen und Nachrichten zu Ihrem Vertrag. Serverstandort Deutschland. Auftragsverarbeitungsvertrag.

spusu Deutschland GmbH, Platzl 2, 80331 München: Mobilfunkanbieter meiner Geschäftsnummer: Für Anrufe und meine Mailbox nutze ich einen Mobilfunkanschluss von spusu. Dafür ist spusu als Telekommunikationsanbieter selbst verantwortlich, nicht mein Auftragsverarbeiter; welche Verbindungsdaten spusu etwa für die Abrechnung speichert und wie lange, richtet sich nach dem Telekommunikationsrecht. Gespräche zeichne ich nicht auf.

Mailjet SAS, 43 rue de Dunkerque, 75010 Paris, Frankreich (Sinch-Gruppe): Versand der E-Mails mit dem Anmeldecode für den Bearbeitungsmodus, der Jahresübersicht der Besucherzahlen und, sobald diese Funktion eingerichtet ist, der Benachrichtigungen über Anfragen über das Kontaktformular Ihrer Website. Mailjet speichert die Daten in Deutschland und Belgien; für Support und Betrieb können Unterauftragsverarbeiter von Mailjet, darunter Mailgun Technologies, Inc. (USA), im Einzelfall auch aus den USA und weiteren Drittländern darauf zugreifen. Öffnungs- und Klickverfolgung sind abgeschaltet. Auftragsverarbeitungsvertrag (Sinch Data Processing Agreement).

Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland (KI-Assistent Claude): Auftragsverarbeiter beim Gestalten und Pflegen Ihrer Website und beim Vorbereiten meiner Antworten auf Ihre Nachrichten und Fragen zum Vertrag. Der Assistent erhält die Angaben, an denen ich gerade arbeite, dabei auch Angaben zu Ihrem Betrieb wie Firmenname und Kontaktangaben, beim Antworten auch den Inhalt Ihrer Nachrichten mit den Angaben darin und meine Notizen zu Ihrem Auftrag. Anthropic verarbeitet sie auch außerhalb der EU, insbesondere in den USA, durch Konzerngesellschaften und Dienstleister von Anthropic, und verwendet sie nicht zum Training von KI-Modellen. Auftragsverarbeitungsvertrag (Anthropic Data Processing Addendum als Teil der Commercial Terms) mit EU-Standardvertragsklauseln für Übermittlungen in Drittländer (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage wie Abschnitt 4 a.

Der Anbieter meines Rechnungsprogramms: Auftragsverarbeiter für das Erstellen und Aufbewahren der Rechnungen und das Zuordnen der Zahlungen, mit Sitz in der EU und Auftragsverarbeitungsvertrag.

Mein Steuerberater: Buchhaltung und Steuererklärungen, in eigener Verantwortung und berufsrechtlich zur Verschwiegenheit verpflichtet.

Außerdem, nur wenn es nötig ist: Finanzbehörden, soweit ich gesetzlich dazu verpflichtet bin, Gerichte und Rechtsanwälte, wenn Ansprüche durchzusetzen oder abzuwehren sind, eine Versicherung, wenn ich einen Schadensfall melden muss, meine Bank für Zahlungen und ein Nachfolger, auf den ich den Vertrag nach den Allgemeinen Geschäftsbedingungen übertrage.

Bei Betreuung Plus arbeite ich in Ihrem Google-Unternehmensprofil und Ihrer Search Console mit dem Zugriff, den Sie mir geben; Google ist dabei Ihr Dienst, nicht meiner.

Bei einer Referenz (Abschnitt 4 e): die Öffentlichkeit, also alle, die meine Website oder mein Google-Unternehmensprofil aufrufen, und die Empfänger meiner Briefe, Angebote und Präsentationen; Google verarbeitet die Angaben in meinem Unternehmensprofil als Betreiber in eigener Verantwortung.

Für Übermittlungen in die USA gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO), unter dem Cloudflare, Inc. und Mailgun Technologies, Inc. zertifiziert sind. Die Auftragsverarbeitungsverträge enthalten zusätzlich EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die für Empfänger in anderen Drittländern gelten und dann, wenn eine Zertifizierung entfällt. Eine Kopie der Standardvertragsklauseln sende ich Ihnen auf Anfrage.

Ihre Daten gebe ich nicht zu Werbezwecken an Dritte weiter.

6. Speicherdauer

a) Vertragsunterlagen (das angenommene Angebot mit seinen Anlagen und dem Stand des Vorschlags, Annahme, Änderungen, Abnahme, Bestätigungen für den Livegang, Kündigung und der Schriftverkehr, der für den Vertrag oder die Steuer Bedeutung hat, etwa Nachrichten, mit denen Sie mir einen kostenpflichtigen Auftrag erteilen; dazu mein Brief und Ihre Fotofreigabe aus der Zeit vor dem Auftrag): einheitlich acht Jahre ab Ende des Jahres der letzten Rechnung zu Ihrem Vertrag. Diese Frist schließt die gesetzlichen Aufbewahrungsfristen ein (§ 147 AO, § 14b UStG: Geschäftsbriefe sechs Jahre, Buchungsbelege acht Jahre, jeweils ab Ende des Jahres, in dem sie entstanden sind); soweit sie darüber hinausgeht, bewahre ich die Unterlagen als Nachweis auf (Abschnitt 4 c). Läuft dann noch eine steuerliche Festsetzungsfrist, für die sie Bedeutung haben, bewahre ich sie bis zu deren Ende auf (§ 147 Abs. 3 Satz 5 AO).

b) Rechnungen und Buchungsbelege: acht Jahre, die Aufzeichnungen meiner Buchhaltung zehn Jahre, jeweils ab Ende des Kalenderjahres (§ 147 AO, § 14b UStG), ebenfalls nicht vor Ablauf einer noch laufenden Festsetzungsfrist.

c) Übrige Daten zu Ihrem Vertrag (Kontaktangaben, Notizen, Aufgaben, E-Mails und Nachrichten, die nicht zu den Vertragsunterlagen gehören, Angaben und Zugänge für die Domain): für die Dauer des Vertrags; danach lösche ich sie spätestens 90 Tage nach dem Vertragsende. So lange können Sie den Export Ihrer Website abrufen. Das Versandprotokoll der Jahresübersicht der Besucherzahlen (Empfänger, Zeitpunkt, Ergebnis) lösche ich schon 400 Tage nach dem Versand.

d) Kommt kein Vertrag zustande: das versendete Angebot mit dem Stand des Vorschlags drei Jahre ab Ende des Jahres, in dem ich es versandt habe, als Nachweis bei Rechtsansprüchen, Ihre übrigen Angaben spätestens zwölf Monate nach dem letzten Kontakt, wie in meiner Datenschutzinformation beschrieben.

e) Bearbeitungsmodus: wie in den Datenschutzhinweisen für den Bearbeitungsbereich beschrieben; Nachweise zu veröffentlichten Fotos bis zum Ende des dritten Kalenderjahres nach dem Jahr, in dem das Foto zuletzt abrufbar war.

f) Ihre Zustimmung zu einer Referenz und ein Widerruf: solange die Zustimmung gilt, danach bis zum Ende des dritten Kalenderjahres nach dem Jahr, in dem ich die Referenz zuletzt verwendet habe (regelmäßige Verjährungsfrist). Nach einem Widerruf entferne ich die Referenz unverzüglich, spätestens innerhalb von 14 Tagen, aus allem, was ich weiter verwende.

g) Nachweise aus der Zeit vor dem Auftrag (Versandprotokoll des Briefs, Einwilligungen und ihre Bestätigung, Widerspruch und Sperrliste) und Nachweise zu einer Auskunft, einem Löschverlangen oder einem Rechtsstreit: mit den Fristen meiner Datenschutzinformation. Für Einwilligungen in E-Mail und Anruf beginnt die Frist mit Ende des Jahres des Vertragsschlusses.

h) Bei einem Rechtsstreit zwischen Ihnen und mir: die Daten, die er braucht, bis zu seinem Ende und nur dafür (Art. 17 Abs. 3 lit. e DSGVO); danach gelten wieder die Fristen oben. Den Vermerk über den Streit und meine Unterlagen dazu bewahre ich bis zum Ende des dritten Jahres nach seinem Abschluss auf.

i) Verbindungsdaten bei Cloudflare: Die Sicherheitsprotokolle und mein Fehlerprotokoll werden nach höchstens sieben Tagen automatisch gelöscht.

j) Sicherungskopien: Die Datenbank und die gespeicherten Dateien sichere ich täglich bei Cloudflare in der EU, wo sich die Datenbank außerdem für bis zu 30 Tage auf einen früheren Stand zurücksetzen lässt; eine zusätzliche Kopie der Datenbank bewahre ich verschlüsselt auf einem eigenen Datenträger auf und aktualisiere sie regelmäßig. Gelöschte Daten bleiben in allen diesen Sicherungen noch höchstens 30 Tage enthalten; danach werden sie gelöscht. Ich verwende die Sicherungen ausschließlich, um nach einem Fehler oder Ausfall einen früheren Stand wiederherzustellen; stelle ich einen früheren Stand wieder her, lösche ich darin enthaltene Daten, deren Löschung inzwischen fällig war, erneut und beachte einen inzwischen erklärten Widerspruch.

k) Kopien beim KI-Assistenten: Was ich bei der Arbeit mit dem KI-Assistenten Claude eingebe und erhalte, löscht Anthropic nach eigenen Angaben in der Regel spätestens 30 Tage nach Eingang bzw. Erzeugung; den Verlauf dieser Arbeit auf meinem Rechner lösche ich spätestens 30 Tage nach der jeweiligen Arbeitssitzung. Diese Kopien können eine frühere Löschung Ihrer übrigen Daten also um bis zu 30 Tage überdauern.

l) Anrufliste meiner Geschäftsnummer auf meinem Mobiltelefon und Nachrichten auf meiner Mailbox bei spusu (Abschnitt 5), abweichend von a und c: Einmal im Monat lösche ich dort alles, was älter als einen Monat ist, also spätestens zwei Monate nach dem Anruf. Was ich aus einem Anruf oder einer Nachricht in meine Kundenverwaltung übernehme, etwa eine Notiz oder einen Auftrag, hat die Frist dieser Angaben (oben); bei einem Rechtsstreit gilt h.

m) Bei Mailjet (Abschnitt 5): Den Inhalt der E-Mails, die ich über Mailjet versende, speichert Mailjet nach eigener Auskunft nur für die Zustellung, nicht darüber hinaus. Zu Ihrer Adresse legt Mailjet automatisch einen Kontakt an; ich lasse ihn spätestens zum Ende des Monats löschen, der auf die letzte dieser E-Mails folgt. Mailjet macht Ihre Adresse dann sofort unkenntlich und löscht den Kontakt innerhalb von 30 Tagen endgültig. Die übrigen Versanddaten (etwa Zeitpunkt, Betreff und Versandstatus) bleiben danach ohne Ihre Adresse in der Versandstatistik von Mailjet, bis Mailjet sie dort löscht, spätestens 13 Monate nach dem Versand.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Auf Ihren Antrag antworte ich innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Eine Einwilligung, etwa zur Referenz, können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Wenden Sie sich formlos per E-Mail an kontakt@vorortseite.de, telefonisch unter 0156 3015 1719 oder per Post an Vincent Leinhos, Mainzer Landstr. 148, 60327 Frankfurt am Main. Ihr Widerspruchsrecht steht in Abschnitt 8.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für mich zuständig: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden (Hausanschrift Wilhelmstraße 7, 65185 Wiesbaden).

Textversion DK-1.0, Stand September 2026.