Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Webcodic
Inhaber: Kevin Blecha
Sauerweg 7
70563 Stuttgart
E-Mail: hello@webstudio-design.de
Telefon: +49 151 401 803 27

Aufruf der Buchungsseite

Diese Seiten werden über die Plattform von Cloudflare (Cloudflare, Inc., USA) ausgeliefert. Bei jedem Aufruf verarbeitet Cloudflare technisch notwendige Zugriffsdaten: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, technische Angaben Ihres Browsers (z. B. User-Agent) sowie daraus abgeleitete Angaben wie das ungefähre Land. Zweck ist die Auslieferung der Seiten, ihr sicherer Betrieb und die Abwehr von Angriffen und Missbrauch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und funktionsfähigen Bereitstellung der Seiten.

Die Buchung selbst verarbeitet unser Verwaltungssystem (Business OS), das ebenfalls bei Cloudflare betrieben wird (os.webcodic.de). Dabei fallen dieselben Zugriffsdaten an.

Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zu Übermittlungen in Drittländer siehe Drittländer.

Schutz vor Missbrauch (Cloudflare Turnstile)

Bevor Sie buchen, prüfen wir mit Cloudflare Turnstile, ob die Anfrage von einem Menschen kommt. Dafür lädt Ihr Browser im letzten Schritt ein Skript von challenges.cloudflare.com. Turnstile wertet dabei Ihre IP-Adresse und technische Merkmale Ihres Browsers und Geräts aus und legt im Speicher Ihres Browsers für challenges.cloudflare.com einen Eintrag („cf.turnstile.u“) ab; Cookies setzt Turnstile dabei nicht. Das Ergebnis (ein einmal gültiges Token) prüft unser Verwaltungssystem beim Buchen zusammen mit Ihrer IP-Adresse bei Cloudflare.

Das Prüffeld ist so eingebunden, dass es nur sichtbar wird, wenn Cloudflare eine Bestätigung von Ihnen braucht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Buchung vor automatisierten Anfragen und Missbrauch.

Der Eintrag im Speicher Ihres Browsers ist für die von Ihnen gewünschte Buchung unbedingt erforderlich; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

Zusätzlich begrenzen wir die Zahl der Buchungen und Aufrufe persönlicher Links je IP-Adresse und Stunde. Dafür speichert unser Verwaltungssystem eine Prüfsumme (SHA-256) der IP-Adresse mit Zeitpunkt, nicht die Adresse selbst. Die Prüfsumme ist pseudonym, nicht anonym. Ein Feld, das nur automatisierte Programme ausfüllen, hilft ebenfalls, Spam zu erkennen.

Ihre Angaben bei der Buchung

Wenn Sie ein Erstgespräch buchen, verarbeiten wir den gewählten Termin, Ihren Namen und Ihre E-Mail-Adresse (Pflichtangaben), freiwillig Ihre Telefonnummer und Ihre Firma sowie Ihre freiwilligen Antworten auf die Projektfragen (z. B. Vorhaben, vorhandene Website, gewünschte Funktionen, Budgetspanne von/bis in Euro) und die Sprache der Buchung.

Kommen Sie über einen Link mit Kampagnen-Kennung zu uns (z. B. aus einem Brief mit QR-Code oder unserem Google-Unternehmensprofil, erkennbar an Angaben wie utm_source in der Adresse), schickt die Buchungsseite diese Kennungen mit der Buchung mit. Wir speichern sie beim Interessenten, um auszuwerten, über welche Wege Anfragen und Aufträge zu uns kommen. In Ihrem Browser wird dafür nichts gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, unsere Werbung auf wirksame Wege auszurichten).

Zweck ist die Vorbereitung und Durchführung des Gesprächs und, wenn Sie es wünschen, ein Angebot. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Verwaltung im Business OS

Ihre Buchung speichern und verwalten wir in unserem internen Verwaltungssystem (Business OS). Die Datenbank betreibt Supabase (Supabase Pte. Ltd., Singapur) in Frankfurt am Main (Region eu-central-1). Dort legen wir zu Ihrer Buchung einen Eintrag als Interessent an (Firma bzw. Name, Ansprechpartner mit E-Mail-Adresse und, falls angegeben, Telefonnummer) und vermerken die Buchung mit Ihren Antworten im Verlauf. Über neue Buchungen, Verschiebungen und Absagen informiert uns eine Push-Benachrichtigung auf unseren eigenen Geräten (Firma bzw. Name und Termin).

Hochgeladene Dateien

Nach der Buchung können Sie freiwillig bis zu drei Dateien (PDF oder Word, je höchstens 10 MB) als Briefing hochladen. Ihr Browser lädt die Datei mit einem zeitlich begrenzten Upload-Link direkt in einen nicht öffentlichen Speicher bei Supabase (Supabase Pte. Ltd., Singapur) (Frankfurt am Main (Region eu-central-1)); dabei erhält Supabase Ihre IP-Adresse. Unser Verwaltungssystem prüft danach Größe und Typ. Wird aus dem Gespräch ein Auftrag und legen wir für Sie einen Kundenordner an, verschieben wir die Dateien in diesen Ordner in Google Drive und löschen sie danach im Speicher bei Supabase.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Google Kalender, Meet, Gmail und Drive

Für Termine, Videogespräch und E-Mails nutzen wir Google Workspace von Google (Google Cloud EMEA Limited, Dublin, Irland):

• Google Kalender: Freie Zeiten berechnen wir aus der Belegung unseres Kalenders (dabei werden keine Daten von Ihnen übermittelt). Beim Buchen legen wir in unserem Kalender einen Termin mit dem Titel „Erstgespräch – Firma bzw. Name“ an, mit Ihrer E-Mail-Adresse als Gast und Ihrem persönlichen Link in der Beschreibung. Google verschickt dabei keine eigene Einladung an Sie.
• Google Meet: Zum Termin erzeugen wir einen Meet-Link. Wenn Sie am Videogespräch teilnehmen, verarbeitet Google die dafür nötigen Daten (z. B. Bild, Ton, Name, IP-Adresse).
• Gmail: Bestätigungen und Erinnerungen versenden wir aus unserem Google-Workspace-Postfach (siehe E-Mails zur Buchung).
• Google Drive: nur bei einem Auftrag, für Ihre hochgeladenen Dateien (siehe Hochgeladene Dateien).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

E-Mails zur Buchung

Sie erhalten von uns per E-Mail eine Bestätigung mit Kalendereintrag, Erinnerungen 24 Stunden und eine Stunde vor dem Termin (die Erinnerung 24 Stunden vorher nur, wenn Sie früher als etwa einen Tag vorher gebucht haben) sowie Nachrichten, wenn der Termin verschoben oder abgesagt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ihr persönlicher Link

Mit Ihrem persönlichen Link können Sie den Termin ansehen, verschieben, absagen und Dateien hochladen. Wir speichern nur eine Prüfsumme des Links, nicht den Link selbst. Der Link gilt bis 90 Tage nach dem Termin; danach machen wir ihn ungültig. Das Ablaufen des Links ist keine Löschung Ihrer Daten; dafür gilt der Abschnitt Speicherdauer.

Empfänger und Dienstleister

• Cloudflare (Cloudflare, Inc., USA) (Auftragsverarbeiter): Auslieferung der Buchungsseite, Betrieb des Verwaltungssystems, Turnstile.
• Supabase (Supabase Pte. Ltd., Singapur) (Auftragsverarbeiter): Datenbank und Dateispeicher des Verwaltungssystems in Frankfurt am Main (Region eu-central-1).
• Google (Google Cloud EMEA Limited, Dublin, Irland) (Auftragsverarbeiter): Kalender, Meet, Gmail und Drive.
• Push-Dienste der Gerätehersteller (Apple, Google, Mozilla oder Microsoft, je nach unserem Gerät): Zustellung der Benachrichtigungen an unsere eigenen Geräte; der Inhalt ist Ende-zu-Ende verschlüsselt (Web Push).

Mit Supabase besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Drittländer

Cloudflare, Supabase und Google sind Unternehmen mit Sitz bzw. Konzernmutter in den USA. Es ist daher möglich, dass Daten in den USA oder anderen Ländern außerhalb der EU verarbeitet werden oder dass von dort darauf zugegriffen wird. Datenbank und Dateispeicher liegen in Frankfurt am Main (Region eu-central-1); das schließt Zugriffe des Anbieters aus Drittländern nicht aus.

Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Cloudflare sind Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Mit Supabase sind Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Google ist nach dem EU-US Data Privacy Framework zertifiziert; Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Google sind Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer

Kommt nach dem Erstgespräch kein Auftrag zustande, entfernt unser Verwaltungssystem sechs Monate nach dem Termin automatisch Ihre Kontaktdaten und Antworten aus der Buchung und löscht hochgeladene Dateien aus dem Speicher. Das gilt für abgesagte, abgelehnte und stattgefundene Termine.

Davon nicht automatisch erfasst sind weitere Stellen, an denen Angaben zu Ihrer Buchung liegen. Für sie gilt:

• Den Eintrag zu Ihrer Anfrage als Interessent (Kontaktangaben und Verlauf) löschen wir sechs Monate nach dem letzten Termin, wenn kein Auftrag zustande kommt.
• Den Eintrag in unserem Google Kalender löscht unser Verwaltungssystem zusammen mit den Buchungsdaten sechs Monate nach dem Termin, wenn kein Auftrag zustande kommt.
• E-Mails zu Ihrer Anfrage löschen wir sechs Monate nach dem letzten Kontakt, wenn kein Auftrag zustande kommt.
• Die Prüfsummen für die Begrenzung der Anfragen löscht unser Verwaltungssystem nach zwei Tagen.
• Supabase erstellt nach eigenen Angaben täglich Sicherungen der Datenbank. Gelöschte Daten können darin enthalten bleiben, bis diese Sicherungen überschrieben werden; auf diese Sicherungen haben wir in unserem Tarif keinen Zugriff.

Wird aus dem Gespräch ein Auftrag, bewahren wir die Daten im Rahmen der Kundenbeziehung auf. Für Angebote, Verträge und Rechnungen gelten gesetzliche Aufbewahrungsfristen von bis zu zehn Jahren (u. a. § 147 AO, § 257 HGB). Spätestens drei Jahre nach dem letzten Kontakt bzw. nach dem Ende von Projekt und Wartung anonymisieren wir Ihre Daten bei uns; ausgenommen sind Nachweise wie Freigaben und Bestätigungen des Leistungsumfangs sowie Unterlagen, für die die genannten gesetzlichen Fristen gelten.

Ihre Rechte

Sie haben nach der DSGVO, jeweils unter den dort genannten Voraussetzungen, folgende Rechte:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine gesetzliche Pflicht zur Aufbewahrung entgegensteht,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) für Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage eines Vertrags oder einer Einwilligung automatisiert verarbeiten.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Auf diesen Seiten holen wir derzeit keine Einwilligungen ein.

Für Ihre Anfrage genügt eine E-Mail an hello@webstudio-design.de.

Beschwerde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne Name und E-Mail-Adresse können wir das Gespräch jedoch nicht vereinbaren und Sie nicht erreichen; ohne die Prüfung durch Turnstile ist eine Buchung nicht möglich. Telefonnummer, Firma, Projektfragen und Dateien sind freiwillig; ohne sie bereiten wir das Gespräch weniger genau vor.

Automatisierte Entscheidungen

Freie Zeiten, Bestätigungen und Erinnerungen ergeben sich automatisch aus unserem Kalender. Automatisch geschieht außerdem nur der Schutz vor Missbrauch (Turnstile, Begrenzung der Anfragen); wenn eine Buchung daran scheitert, erreichen Sie uns weiterhin per E-Mail oder Telefon. Ob und zu welchen Bedingungen wir ein Angebot machen, entscheiden wir persönlich. Eine Entscheidung im Sinne von Art. 22 DSGVO ist damit nach unserer Einschätzung nicht verbunden.

Cookies und Speicher im Browser

Die Buchungsseite setzt nach unserem Programmcode selbst keine Cookies und legt nichts im lokalen Speicher oder Sitzungsspeicher Ihres Browsers ab. Schriften und Erklärvideos liefern wir selbst aus. Inhalte von fremden Servern lädt die Seite nur für Turnstile (siehe Schutz vor Missbrauch).

Auch Cloudflare setzt nach unserer Konfiguration keine Cookies.