Datenschutzerklärung

1 · Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Jonas Westphal
Einzelunternehmen
Anschrift und weitere Kontaktdaten: siehe Impressum
E-Mail: datenschutz@westphal.tech

2 · Bereitstellung der Website, Hosting und Server-Logs

Diese Website wird über Cloudflare Pages und das weltweite Content Delivery Network von Cloudflare ausgeliefert. Hierfür wird Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, als Auftragsverarbeiter eingesetzt.

Bei jedem Aufruf verarbeitet Cloudflare technisch erforderliche Verbindungs- und Protokolldaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte URL beziehungsweise Datei, Referrer, Browser- und Geräteinformationen, HTTP-Status sowie Informationen zur Erkennung und Abwehr missbräuchlicher Zugriffe gehören.

Die Verarbeitung dient der sicheren und schnellen Auslieferung, der Fehleranalyse und dem Schutz der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt im zuverlässigen und sicheren Betrieb dieses Webangebots.

Cloudflare betreibt ein globales Netzwerk, sodass eine Verarbeitung personenbezogener Daten außerhalb der EU beziehungsweise des EWR nicht vollständig ausgeschlossen werden kann. Für Übermittlungen personenbezogener Daten in die USA stützt sich Cloudflare insbesondere auf seine Zertifizierung nach dem EU-US Data Privacy Framework. Daneben enthält das Data Processing Addendum von Cloudflare die Standardvertragsklauseln der EU-Kommission.

Protokolldaten werden nur so lange verarbeitet, wie dies für die genannten Zwecke, vertragliche Verpflichtungen oder die Abwehr und Aufklärung von Sicherheitsvorfällen erforderlich ist.

3 · Schriftarten und extern geladene Skripte

Alle Schriftarten werden von dieser Website selbst ausgeliefert. Schriftarten von externen Drittanbietern werden nicht geladen.

Extern geladen werden ausschließlich die in den folgenden Abschnitten beschriebenen Dienste zur Reichweitenmessung sowie beim Öffnen des Kontaktformulars Cloudflare Turnstile.

4 · Cloudflare Web Analytics

Auf der produktiven Website ist Cloudflare Web Analytics aktiviert.

Dabei wird ein JavaScript-Beacon von Cloudflare geladen, um aggregierte Seitenaufruf- und Leistungsdaten zu erfassen. Cloudflare gibt an, dafür weder Cookies noch localStorageeinzusetzen und Besucher nicht anhand von IP-Adresse, User-Agent oder vergleichbaren Merkmalen zu identifizieren oder seitenübergreifend zu verfolgen.

Soweit beim technischen Abruf des Beacons personenbezogene Verbindungsdaten verarbeitet werden, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Mein berechtigtes Interesse liegt in einer datensparsamen Messung der Reichweite sowie der Stabilität und technischen Leistung dieser Website.

Empfänger ist Cloudflare. Für mögliche Drittlandübermittlungen gelten die Hinweise aus Abschnitt 2 entsprechend.

5 · Umami Analytics

Zusätzlich wird für die Reichweiten- und Nutzungsanalyse eine selbst betriebene Umami-Instanz unter analytics.arkato.xyz eingesetzt.

Die Domain arkato.xyz und die Umami-Instanz werden von mir selbst betrieben. Die technische Infrastruktur befindet sich auf einem Server der netcup GmbH in Deutschland. Es findet daher keine Weitergabe der Analysedaten an einen externen Umami-Betreiber statt.

Beim Seitenaufruf werden insbesondere Website-ID, Hostname, Browser-Sprache, Seitentitel, Bildschirmgröße, Referrer sowie die aufgerufene URL verarbeitet. Von der URL werden ausschließlich Kampagnenparameter (utm_source, utm_medium, utm_campaign,utm_content und utm_term) übertragen; alle übrigen Suchparameter werden vor der Übertragung im Browser entfernt. Fragmente (Teil nach #) werden nicht übertragen. Technisch bedingt wird die IP-Adresse zunächst an den Server übertragen.

Umami kann daraus unter anderem Browser, Betriebssystem, Gerätetyp und ein ungefähres Herkunftsland ableiten. Für die Sitzungszuordnung wird ein nicht direkt lesbarer Wert aus technischen Merkmalen wie IP-Adresse, User-Agent und Website-ID gebildet.

Die Umami-Instanz ist selbst gehostet, das eingesetzte Skript setzt keine Cookies. Die Einstellung „Do Not Track“ des Browsers wird beachtet.

Zusätzlich werden ausschließlich festgelegte Ereignisse erfasst. Dazu gehören insbesondere:

• Öffnen, Absenden, erfolgreicher Abschluss oder technisches Scheitern des Kontaktformulars,
• Aufrufe von Projektbeispielen,
• ausgewählte externe Links,
• erreichte Zeit- und Scrollmarken sowie
• technische Leistungswerte wie LCP, INP, CLS, FCP und TTFB.

Als zusätzliche Angaben werden ausschließlich fest definierte Kategorien wie Einstiegspunkt, Anliegen, Sprache, Projektkürzel oder Fehlerstufe verarbeitet.

Formulareingaben, E-Mail-Adressen, Namen, Unternehmen, Nachrichteninhalte sowie Sicherheits- und Authentifizierungs-Token werden nicht absichtlich an Umami übertragen.

Sitzungsaufzeichnungen und Heatmaps sind derzeit deaktiviert. Sitzungsaufzeichnungen sind nicht vorgesehen. Eine spätere Aktivierung zusätzlicher Analysefunktionen erfolgt erst nach einer erneuten Datenschutzprüfung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt darin, Nutzung, Inhalte und technische Qualität meiner eigenen Webangebote datensparsam zu bewerten und zu verbessern.

Technischer Auftragsverarbeiter für die Serverinfrastruktur ist die netcup GmbH.

Die Analysedaten werden für 12 Monate gespeichert und anschließend gelöscht beziehungsweise, soweit technisch vorgesehen, so aggregiert, dass eine weitere Zuordnung zu einzelnen Sitzungen nicht mehr möglich ist.

Die Umami-Instanz wird ausschließlich für meine eigenen Projekte betrieben.

6 · Lokale Einstellungen im Browser

Die Website speichert die von Ihnen gewählte Sprache im localStorage Ihres Browsers unter dem Schlüssel site-language.

Für die Dauer der Browsersitzung speichert sie außerdem die in diesem Tab besuchten Pfade und deren aktuelle Position im sessionStorage Ihres Browsers unter den Schlüsseln nav-stack und nav-index.

Der Sprachwert bleibt gespeichert, bis Sie die Einstellung ändern oder die Browserdaten löschen. Die Sitzungswerte entfallen mit dem Schließen des Tabs. Der Hell-/Dunkelmodus folgt der Systemeinstellung Ihres Geräts; hierfür wird nichts gespeichert.

Diese Speicherung dient ausschließlich dazu, ausdrücklich gewählte beziehungsweise für die Darstellung erforderliche Einstellungen bereitzustellen.

Sie ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig.

Eine Auswertung zu Analyse- oder Werbezwecken findet über diese Werte nicht statt.

Nach der eingesetzten Konfiguration setzt die Website selbst keine Cookies. Für technisch notwendige Cookies des Kundenportals gilt Abschnitt 11.

7 · Kontaktformular

Wenn Sie das Kontaktformular nutzen, verarbeite ich insbesondere:

• Ihren Namen,
• Ihre E-Mail-Adresse,
• ein optional angegebenes Unternehmen,
• die gewählte Art des Anliegens,
• den Nachrichteninhalt und
• die Sprache der Seite.

Eine Newsletter-Anmeldung oder automatische Aufnahme in eine Marketingliste erfolgt dadurch nicht.

Die Angaben werden direkt an Business OS übertragen. Business OS wird von mir selbst auf einem Server der netcup GmbH in Deutschland betrieben.

Dort werden die übermittelten Formulardaten sowie die vollständige Übermittlung als Nachweis gespeichert. Das von Cloudflare Turnstile erzeugte Prüftoken wird nicht dauerhaft gespeichert.

Ihre IP-Adresse wird nicht dauerhaft gespeichert. Zur Begrenzung missbräuchlicher Anfragen bildet Business OS für das jeweils aktuelle 10-Minuten-Fenster einen gekürzten SHA-256-Hashwert der IP-Adresse. Diese Hashwerte werden stündlich gelöscht.

Über neue Anfragen erhalte ich eine technische Benachrichtigungs-E-Mail über Brevo. Diese Benachrichtigung enthält keine Namen, E-Mail-Adressen, Unternehmen, Nachrichteninhalte oder sonstigen Inhalte des Kontaktformulars. Sie weist ausschließlich darauf hin, dass eine neue Anfrage in Business OS vorliegt, und enthält einen Verweis auf das interne System.

Die Verarbeitung der Anfrage erfolgt zur Durchführung vorvertraglicher Maßnahmen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Kommt aus einer Anfrage kein Vertragsverhältnis zustande, werden die dazu gespeicherten personenbezogenen Daten grundsätzlich 12 Monate nach dem letzten Kontakt gelöscht.

Eine längere Speicherung erfolgt nur, soweit dies aufgrund gesetzlicher Pflichten erforderlich ist oder Daten im konkreten Einzelfall noch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

Wird aus einer Anfrage ein Auftrag, gelten zusätzlich die Regelungen für Kunden- und Rechnungsdaten in Abschnitt 12.

8 · Cloudflare Turnstile

Das Kontaktformular wird durch Cloudflare Turnstile gegen automatisierte Spam- und Missbrauchsanfragen geschützt.

Beim Öffnen des Formulars wird ein Skript von Cloudflare geladen. Dabei wird ein kurzzeitig gültiges Prüftoken erzeugt, das Business OS anschließend gegenüber Cloudflare validiert.

Für diese Sicherheitsprüfung verarbeitet Cloudflare insbesondere Ihre IP-Adresse und Ihren User-Agent sowie weitere technisch erforderliche Informationen zur Missbrauchserkennung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Mein berechtigtes Interesse liegt darin, das Kontaktformular und die dahinterliegende Infrastruktur gegen automatisierten Missbrauch, Spam und Angriffe zu schützen.

Cloudflare, Inc. hat seinen Sitz in den USA. Für Übermittlungen personenbezogener Daten in die USA stützt sich Cloudflare insbesondere auf das EU-US Data Privacy Framework. Ergänzend sind die Standardvertragsklauseln der EU-Kommission Bestandteil des Data Processing Addendum von Cloudflare.

9 · Kontakt per E-Mail

Wenn Sie mich direkt per E-Mail kontaktieren, werden insbesondere folgende Daten verarbeitet:

• Absender- und Empfängeradresse,
• Datum und Uhrzeit,
• Betreff,
• Nachrichteninhalt sowie
• gegebenenfalls Anhänge.

Für die E-Mail-Kommunikation nutze ich Proton Mail. Auftragsverarbeiter ist die Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz.

Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

Proton gibt an, Daten von Proton Mail verschlüsselt auf Servern in der Schweiz, Deutschland oder Norwegen zu speichern. Für Datenübermittlungen außerhalb dieses Bereichs sieht die Vereinbarung zur Auftragsverarbeitung zusätzliche geeignete Garantien vor.

Soweit Ihre Nachricht der Anbahnung oder Durchführung eines Vertrags dient, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Bei sonstigen geschäftlichen Anfragen erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt in der Bearbeitung und Beantwortung geschäftlicher Kommunikation.

Für Anfragen, aus denen kein Vertragsverhältnis entsteht, gilt grundsätzlich eine Speicherdauer von 12 Monaten nach dem letzten Kontakt, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine längere Aufbewahrung bestehen.

10 · KI-gestützte Auswertung von Anfragen

Eine KI-gestützte Auswertung personenbezogener Kontaktanfragen ist derzeit nicht aktiv.

Business OS verfügt technisch über die Möglichkeit, eingehende Anfragen zukünftig mithilfe einer externen KI-Schnittstelle zusammenzufassen, einzuordnen oder einen Antwortentwurf zu erstellen.

Diese Funktion wird derzeit nicht eingesetzt. Personenbezogene Inhalte von Kontaktanfragen oder Support-Tickets werden daher derzeit nicht zu diesem Zweck an OpenAI oder einen anderen externen KI-Anbieter übertragen.

Vor einer zukünftigen Aktivierung werden die datenschutzrechtlichen und vertraglichen Voraussetzungen einschließlich Auftragsverarbeitung, Datenübermittlung, Speicherfristen und gegebenenfalls Datenresidenz erneut geprüft und diese Datenschutzerklärung entsprechend aktualisiert.

Eine ausschließlich automatisierte Entscheidung über Kunden oder Interessenten findet nicht statt.

11 · Kundenportal

Das Kundenportal unter app.westphal.tech/portal ist ausschließlich für eingeladene Ansprechpartner von Kunden zugänglich.

Die Anmeldung erfolgt ohne dauerhaftes Passwort über einen Einmal-Code beziehungsweise einen zeitlich begrenzten Anmeldelink, der per E-Mail zugestellt wird.

Für den Versand dieser transaktionalen E-Mails wird Brevo eingesetzt.

Im Kundenportal werden insbesondere folgende Daten gespeichert:

• Name, E-Mail-Adresse und Sprache des Ansprechpartners,
• Zeitpunkt der Einladung und der letzten Anmeldung,
• Kommentare und Textantworten,
• hochgeladene Dateien,
• Materialanfragen,
• Support- und Projekttickets einschließlich Anhängen sowie
• Freigaben von Projektständen einschließlich Name, E-Mail-Adresse, Zeitpunkt und Versionsbezeichnung.

Freigaben von Projektständen dienen als Nachweis der erteilten Freigabe beziehungsweise Abnahme.

Soweit solche Nachweise zur Erfüllung gesetzlicher Verpflichtungen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind, können sie auch über die reguläre Löschfrist hinaus aufbewahrt werden. Insoweit gelten insbesondere Art. 17 Abs. 3 lit. b und e DSGVO.

Andere projektspezifische Inhalte des Kundenportals werden grundsätzlich 12 Monate nach Abschluss des jeweiligen Projekts gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten oder überwiegenden Gründe für eine weitere Speicherung bestehen.

Hochgeladene Dateien werden privat im Cloudflare-R2-Objektspeicher gespeichert. Downloads erfolgen ausschließlich über kurzzeitig gültige signierte Links.

Rechnungen und abrechnungsbezogene Informationen können aus Lexware Office eingebunden beziehungsweise angezeigt werden.

Das Kundenportal setzt ausschließlich technisch notwendige Cookies ein:

• sessionid zur Aufrechterhaltung der Anmeldung (HttpOnly, Secure, SameSite=Lax),
• csrftoken zum Schutz vor Cross-Site-Request-Forgery.

Diese Cookies sind für die Bereitstellung des ausdrücklich angeforderten Kundenportals erforderlich und nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig.

Im Kundenportal findet kein Webtracking und keine Reichweitenmessung statt.

Die Verarbeitung erfolgt grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Durchführung des jeweiligen Vertragsverhältnisses.

Versand über Brevo

Für transaktionale E-Mails wie Einmal-Codes und Anmeldelinks wird Brevo eingesetzt.

Das personenbezogene Öffnungs- und Klicktracking ist in meinem Brevo-Konto anonymisiert.

Transaktionsprotokolle werden entsprechend der von mir vorgenommenen Konfiguration für drei Monate aufbewahrt.

12 · Kunden-, Vertrags- und Rechnungsdaten

Kundenstammdaten wie Firma, Anschrift, USt-IdNr. und Ansprechpartner sowie Angebote und Rechnungen werden insbesondere in Lexware Office verwaltet und mit Business OS abgeglichen, soweit dies für die dort bereitgestellten Funktionen erforderlich ist.

Für Lexware Office wird die Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, als Auftragsverarbeiter eingesetzt.

Die Verarbeitung von Kunden- und Vertragsdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Soweit ich gesetzlich verpflichtet bin, Geschäfts- und Steuerunterlagen aufzubewahren, erfolgt die weitere Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Die konkrete Aufbewahrungsfrist richtet sich nach Art und Inhalt des jeweiligen Dokuments. Nach den derzeit geltenden handels- und steuerrechtlichen Vorschriften betragen die gesetzlichen Aufbewahrungsfristen insbesondere:

• 10 Jahre für bestimmte Bücher, Aufzeichnungen, Jahresabschlüsse und vergleichbare Rechnungslegungsunterlagen,
• 8 Jahre für Buchungsbelege und
• 6 Jahre für bestimmte Handels- und Geschäftsbriefe sowie sonstige aufbewahrungspflichtige Unterlagen.

Die Fristen beginnen grundsätzlich mit dem Schluss des Kalenderjahres, in dem das jeweilige Dokument entstanden beziehungsweise der maßgebliche Vorgang abgeschlossen wurde.

Soweit im Einzelfall andere gesetzliche Aufbewahrungsfristen gelten oder Unterlagen aufgrund noch laufender steuerlicher oder rechtlicher Verfahren länger benötigt werden, kann sich die tatsächliche Speicherdauer entsprechend verlängern.

13 · Hosting, Speicher und Backups von Business OS

Die technische Infrastruktur von Business OS ist wie folgt aufgebaut:

• Anwendung und Datenbank werden auf einem Server der netcup GmbH in Deutschland betrieben.
• Hochgeladene Dateien und verschlüsselte Datenbank-Backups werden im Objektspeicher Cloudflare R2 gespeichert.
• Für die verwendeten R2-Buckets ist die EU-Jurisdiction eingerichtet. Die dort gespeicherten Objekte werden damit innerhalb der Europäischen Union gespeichert und verarbeitet.
• Datenbank-Backups werden mit age verschlüsselt.
• Backups werden nach 30 Tagen gelöscht.
• Der Quellcode wird bei GitHub verwaltet. Kundendaten werden nicht im Quellcode-Repository gespeichert.

Für allgemeine Konto-, Sicherheits- oder Verbindungsdaten bei Cloudflare können weiterhin die in Abschnitt 2 beschriebenen internationalen Verarbeitungen stattfinden.

14 · Empfänger und Auftragsverarbeiter

Im Rahmen der beschriebenen Verarbeitung werden insbesondere folgende Dienstleister eingesetzt:

Die unter analytics.arkato.xyz betriebene Umami-Instanz ist kein externer Empfänger, sondern wird von mir selbst betrieben. netcup stellt hierfür lediglich die technische Serverinfrastruktur bereit.

OpenAI ist derzeit kein Empfänger personenbezogener Daten aus Business OS, da die KI-Auswertung aktuell deaktiviert ist.

15 · Externe Links

Diese Website enthält Links zu externen Angeboten, insbesondere zu GitHub und weiteren Websites.

Beim bloßen Laden meiner Website werden aufgrund eines normalen externen Links keine Daten an den verlinkten Anbieter übertragen.

Erst wenn Sie einen solchen Link öffnen, stellt Ihr Browser eine Verbindung zum jeweiligen Anbieter her. Dieser erhält dabei die technisch erforderlichen Verbindungsdaten und verarbeitet diese in eigener datenschutzrechtlicher Verantwortung.

16 · Rechte betroffener Personen

Bei Vorliegen der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO sowie
• Datenübertragbarkeit nach Art. 20 DSGVO.

Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO Widerspruch gegen die Verarbeitung einlegen.

Anfragen zu Ihren Datenschutzrechten richten Sie bitte an:

datenschutz@westphal.tech

Soweit ein Auskunfts- oder Datenexport über Business OS erstellt wird, kann dieser als JSON-Dokument bereitgestellt werden. Eine hierfür erzeugte Downloadkopie wird nach 7 Tagen gelöscht.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für den Verantwortlichen ist insbesondere folgende Aufsichtsbehörde zuständig:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98
24103 Kiel
E-Mail: mail@datenschutzzentrum.de

17 · Automatisierte Entscheidungen

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Automatisierte technische Vorgänge wie Spam-Erkennung, Rate-Limiting oder die Auswertung technischer Leistungsdaten führen nicht zu Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung gegenüber betroffenen Personen.

18 · Aktualisierung dieser Datenschutzerklärung

Ich passe diese Datenschutzerklärung an, wenn sich die Website, Business OS, eingesetzte Dienstleister, technische Verarbeitungsvorgänge oder rechtliche Anforderungen ändern.

Die jeweils aktuelle Fassung ist unter /datenschutz/ abrufbar.