Datenschutzerklärung

Stand: 10. Oktober 2026 · Fassung 1

Auf einen Blick

Dieser Auftritt ist bewusst datensparsam gebaut. Er besteht aus vorab erzeugten Dateien, die von einem einzigen Server in Deutschland ausgeliefert werden. Es sind keine Dienste Dritter eingebunden.

Beim Aufruf einer Seite werden ausschließlich das HTML-Dokument mit wenigen Zeilen JavaScript für Menü, Filter und Bildanzeige, eine Stilvorlage, bis zu drei Schriftdateien und die Bilder der jeweiligen Seite übertragen. Alles davon stammt vom selben Server. Das JavaScript läuft allein in Ihrem Browser und sendet nichts zurück.

Ausgenommen davon sind allein das Kontakt- und das Ankaufsformular: Dort holt ein Skript eine Sicherheitsprüfung von unserem eigenen Server, und Ihre Eingaben werden übertragen, wenn Sie das Formular absenden. Die Einzelheiten stehen unten im Abschnitt „Kontaktaufnahme“.

• keine Reichweitenmessung im Browser, keine Cookies dafür, keine Profilbildung — nur eine zusammengefasste Abrufstatistik, die der Server aus seinem Zugriffsprotokoll mit gekürzter IP-Adresse erstellt (Einzelheiten unten)
• keine Karten, keine eingebetteten Videos, keine Schaltflächen sozialer Netzwerke
• keine Schriften von fremden Servern — sie liegen in unserem eigenen Verzeichnis
• keine Werbenetzwerke, keine Weitergabe an Dritte zu Werbezwecken
• keine Cookies; es wird nichts auf Ihrem Gerät gespeichert
• beim Aufruf der Seiten keine Übermittlung in Länder außerhalb der Europäischen Union; für Nachrichten über die Formulare und per E-Mail siehe den Abschnitt „Übermittlung in Drittländer“

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Büro Köln

Datenschutzbeauftragter

Ob ein Datenschutzbeauftragter zu benennen ist, wird derzeit geprüft. Solange keine Benennung veröffentlicht ist, richten Sie Anfragen zum Datenschutz bitte an die oben genannte Anschrift oder an die genannte E-Mail-Adresse. Der Punkt ist am Ende dieser Erklärung als offen ausgewiesen.

Wofür diese Erklärung gilt

Diese Erklärung gilt für den Webauftritt unter der genannten Anschrift im Netz. Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO) — dazu zählt insbesondere die IP-Adresse Ihres Anschlusses.

Für Auftritte anderer Anbieter, auf die von hier aus verwiesen wird, gilt diese Erklärung nicht. Für deren Inhalte und Datenverarbeitung ist allein der jeweilige Anbieter verantwortlich.

Aufruf der Seiten, Hosting und Server-Protokolle

Der Auftritt wird auf einem gemieteten Server betrieben. Anbieter und damit Auftragsverarbeiter im Sinne von Art. 28 DSGVO ist:

Der Server steht im Rechenzentrum Nürnberg in Deutschland. Er trägt die Bezeichnung „welling-sites“, läuft unter Debian 13 und liefert die Seiten über den Webserver Caddy aus. Die beim Aufruf der Seiten anfallenden Daten verlassen die Bundesrepublik Deutschland dabei nicht. Für Nachrichten aus den Formularen gilt ergänzend der Abschnitt „Übermittlung in Drittländer“.

Verbindungsdaten

Wie bei jedem Abruf im Internet muss der ausliefernde Server technisch notwendige Verbindungsdaten verarbeiten. Dazu gehören regelmäßig:

• die IP-Adresse des anfragenden Anschlusses
• Zeitpunkt und Zeitzone des Abrufs
• die angeforderte Adresse und das verwendete Übertragungsverfahren
• die Antwort des Servers (Statuscode) und die übertragene Datenmenge
• die Kennung des Browsers und des Betriebssystems (User-Agent)
• die Seite, von der aus der Aufruf erfolgte (Referrer), sofern der Browser sie übermittelt

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den Auftritt technisch fehlerfrei bereitzustellen, Störungen zu erkennen und Angriffe auf den Server abzuwehren. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt, und es wird daraus kein Nutzungsprofil gebildet.

Der Webserver führt zwei Protokolle (Stand der Konfiguration: 10.10.2026). Erstens ein Zugriffsprotokoll mit gekürzter IP-Adresse (IPv4 auf das /24-Netz, IPv6 auf das /32-Netz). Zweitens ein Abwehrprotokoll mit vollständiger IP-Adresse, das ausschließlich ausgewertet wird, um Angriffe und Missbrauch zu erkennen und abzuwehren (etwa um eine angreifende Adresse von Hand zu sperren). Der Server beginnt für das Abwehrprotokoll jede Stunde und für das Zugriffsprotokoll jeden Tag eine neue Datei; ein stündlicher automatischer Lauf löscht aus den abgeschlossenen Dateien Einträge des Zugriffsprotokolls nach spätestens sieben Tagen und Einträge des Abwehrprotokolls nach spätestens 48 Stunden. Ausgenommen sind Einträge, die zur Aufklärung eines konkreten Missbrauchs gesondert gesichert werden; sie werden gelöscht, sobald sie dafür nicht mehr erforderlich sind, spätestens sechs Monate nach dem Vorfall. Cookies und Anmeldedaten werden in beiden Protokollen nicht gespeichert. Aufrufe des Bestätigungsverweises des Formulardienstes werden in keinem der beiden Protokolle erfasst.

Abrufstatistik: Aus dem Zugriffsprotokoll (IP-Adresse bereits gekürzt) erstellt ein Programm auf demselben Server (GoAccess) eine zusammengefasste Statistik — Zahl der Abrufe und Besuche je Seite und Tag, Browser- und Betriebssystemfamilie, verweisende Seiten, Antwortcodes und gekürzte Netzadressen. Es werden keine Cookies gesetzt und nichts auf Ihrem Gerät gespeichert oder ausgelesen; die Statistik wird nicht mit anderen Daten zusammengeführt und ist nur intern mit Passwort einsehbar. Die zusammengefassten Werte werden 400 Tage aufbewahrt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Nutzung des Auftritts in zusammengefasster Form zu verstehen und ihn zu verbessern.

Auftragsverarbeitung

Mit dem Anbieter des Servers ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zu schließen, sofern das nicht bereits geschehen ist. Der Abschluss ist am Ende dieser Erklärung als offener Punkt ausgewiesen. Diese Erklärung behauptet ausdrücklich nicht, dass der Vertrag bereits vorliegt.

Cookies, vergleichbare Techniken und Ihre Einwilligung

Nach § 25 Abs. 1 TDDDG ist jedes Speichern von Informationen auf Ihrem Endgerät und jeder Zugriff auf dort gespeicherte Informationen nur mit Ihrer Einwilligung zulässig. Ausgenommen sind nach § 25 Abs. 2 TDDDG unbedingt erforderliche Vorgänge.

Derzeit findet weder das eine noch das andere statt: Dieser Auftritt setzt keine Cookies, speichert nichts in Ihrem Browser und liest nichts aus Ihrem Browser aus. Eine Einwilligung ist deshalb nicht erforderlich, und es wird auch keine erfragt.

Der Auftritt bringt gleichwohl eine vollständige Einwilligungsverwaltung mit. Sie ist eingebaut, aber leer geschaltet: Sie erscheint erst in dem Augenblick, in dem tatsächlich ein zustimmungspflichtiger Dienst eingerichtet wird. Ein Einwilligungsbanner zu zeigen, obwohl es nichts einzuwilligen gibt, wäre irreführend — es behauptete eine Datenverarbeitung, die gar nicht stattfindet.

Sobald ein solcher Dienst eingerichtet ist, gilt: Es wird gefragt, bevor irgendetwas geladen oder gespeichert wird. Nichts ist vorangekreuzt. „Nur notwendige“ ist genauso leicht erreichbar wie „Alle akzeptieren“. Ohne Ihre Entscheidung geschieht nur das unbedingt Erforderliche.

Die Kategorien im Einzelnen

Notwendig

Diese Vorgänge sind erforderlich, damit die Seiten überhaupt ausgeliefert und bedient werden können. Sie lassen sich nicht abwählen, weil ohne sie kein Aufruf möglich wäre. Eine Einwilligung ist dafür nach § 25 Abs. 2 TDDDG nicht erforderlich.

• Auslieferung der Seiten
  Der Webserver muss die angeforderte Seite ausliefern und dabei die Verbindung technisch abwickeln. Auf Ihrem Gerät wird dafür nichts gespeichert; es entstehen ausschließlich Verbindungsdaten auf dem Server.
  Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
• Nachweis Ihrer Datenschutz-Einstellungen
  Hält fest, welche Kategorien Sie zugelassen oder abgelehnt haben, damit Sie nicht bei jedem Aufruf erneut gefragt werden und damit wir die Entscheidung nachweisen können (Art. 7 Abs. 1 DSGVO). Der Eintrag entsteht erst, wenn eine zustimmungspflichtige Verarbeitung eingerichtet ist und Sie eine Auswahl getroffen haben.
  Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)

Statistik

Reichweitenmessung: erfasst anonym oder pseudonym, welche Seiten wie oft aufgerufen werden, wie lange Besucher bleiben und über welchen Weg sie kommen. Das dient allein der Verbesserung des Auftritts. Ohne Ihre Zustimmung wird in Ihrem Browser nichts gemessen.

Derzeit ist keine Reichweitenmessung im Browser eingerichtet. Zur zusammengefassten Abrufstatistik des Servers (ohne Cookies) siehe die Datenschutzerklärung.

Externe Medien

Inhalte, die von fremden Servern nachgeladen werden — Karten, Videos, Schriften. Beim Laden erfährt der fremde Server Ihre IP-Adresse und kann eigene Cookies setzen. Ohne Ihre Zustimmung wird nichts nachgeladen; an der Stelle erscheint stattdessen ein Hinweis mit Schaltfläche.

Derzeit sind keine Inhalte von fremden Servern eingebunden.

Marketing

Werbliche Ansprache und Erfolgsmessung von Anzeigen, gegebenenfalls über mehrere Auftritte hinweg. Ohne Ihre Zustimmung findet nichts davon statt.

Derzeit ist kein Dienst zur werblichen Ansprache eingerichtet.

Wie Ihre Entscheidung festgehalten wird

Ihre Entscheidung wird ausschließlich in Ihrem Browser abgelegt, und zwar im sogenannten „local storage“ und nicht als Cookie. Der Grund: Ein Cookie würde bei jedem einzelnen Abruf — auch bei jedem Bild und jeder Schriftdatei — an den Server mitgesendet und dort in den Protokollen sichtbar. Der Server braucht Ihre Entscheidung aber gar nicht zu kennen, weil der Auftritt statisch ist. Der Eintrag im „local storage“ verlässt Ihr Gerät nie. Das ist die datensparsamste Lösung (Art. 5 Abs. 1 lit. c DSGVO).

Festgehalten werden der Zeitpunkt Ihrer Entscheidung, die gewählten Kategorien, die Fassungsnummer des Einwilligungstextes und ein Fingerabdruck der Diensteliste. Damit können wir die Einwilligung nachweisen (Art. 7 Abs. 1 DSGVO). Ändert sich die Diensteliste, stimmt der Fingerabdruck nicht mehr; die alte Einwilligung verfällt dann und Sie werden erneut gefragt. Eine einmal erteilte Einwilligung wird also nie stillschweigend auf einen neuen Dienst übertragen.

Der Eintrag läuft nicht von selbst ab. Sie können ihn jederzeit über die Einstellungen Ihres Browsers löschen; danach werden Sie beim nächsten Aufruf erneut gefragt.

• welling-immo.einwilligung (localStorage) — Zeitpunkt, gewählte Kategorien, Fassungsnummer und Fingerabdruck der Diensteliste. bis Sie ihn löschen oder Ihre Auswahl ändern; er läuft nicht von selbst ab und wird bei jeder Änderung der Diensteliste ungültig.

Widerruf

Derzeit gibt es nichts zu widerrufen: Es wird keine Einwilligung erfragt und keine erteilt. Aus demselben Grund steht am Fuß der Seiten heute auch kein Verweis „Cookie-Einstellungen“ — er erschiene ins Leere. Sobald eine Einwilligung eingeholt wird, erscheint dieser Verweis auf jeder Seite; der Widerruf ist dann genauso einfach wie die Erteilung (Art. 7 Abs. 3 DSGVO) und wirkt für die Zukunft, ohne die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung zu berühren.

Kontaktaufnahme

Kontakt- und Ankaufsformular

Ablauf.

Auf der Kontaktseite und auf der Seite zum Ankauf steht je ein Formular. Das Kontaktformular fragt Name, E-Mail-Adresse und Nachricht ab; das Ankaufsformular zusätzlich Firma, Telefon, Objekt und Ort, Nutzungsart, Fläche und Leerstand. Pflichtangaben sind Name, E-Mail-Adresse und Nachricht, im Ankaufsformular außerdem Objekt und Ort; alle übrigen Angaben sind freiwillig.

Beim Absenden werden Ihre Angaben verschlüsselt an einen eigenen Formulardienst übertragen, den wir selbst auf dem oben genannten Server bei der Hetzner Online GmbH in Deutschland betreiben. Ein externer Formular- oder Versanddienst wird dafür nicht eingesetzt.

Sicherheitsprüfung: Vor dem Absenden löst Ihr Browser im Hintergrund eine kleine Rechenaufgabe (ALTCHA). Aufgabe und Prüfung stammen von unserem eigenen Formulardienst; es ist kein Drittanbieter beteiligt, und es werden dafür keine Cookies gesetzt. Ohne JavaScript lässt sich das Formular deshalb nicht absenden — der Weg per E-Mail steht Ihnen jederzeit offen.

Missbrauchsabwehr: Der Formulardienst begrenzt die Zahl der Zusendungen je Anschluss. Dazu verarbeitet er beim Abruf der Sicherheitsprüfung, beim Absenden und beim Bestätigen die IP-Adresse Ihres Anschlusses (bei IPv6 das /64-Netz) für höchstens etwa eine Stunde im Arbeitsspeicher. Außerdem schickt er an dieselbe E-Mail-Adresse (ein „+Zusatz“ sowie bei Gmail Punkte zählen als dieselbe Adresse) höchstens eine Bestätigungsmail innerhalb von 24 Stunden; dafür speichert er etwa 24 Stunden lang nur ein Pseudonym der Adresse — einen mit einem geheimen Schlüssel gebildeten Prüfwert — im Arbeitsspeicher und auf dem Server; ohne diesen Schlüssel lässt sich die Adresse daraus nicht ermitteln. In seine Protokollzeilen schreibt er keinen Nachrichtentext; die E-Mail-Adresse erscheint dort nur gekürzt, die IP-Adresse nur gekürzt — bei IPv4 auf das /24-Netz, bei IPv6 auf das /64-Netz. Diese Protokolle werden 14 Tage aufbewahrt; ältere Einträge werden gelöscht. Ausgenommen sind Einträge, die zur Aufklärung eines konkreten Missbrauchs gesondert gesichert werden (Art. 6 Abs. 1 lit. f DSGVO); sie werden gelöscht, sobald sie dafür nicht mehr erforderlich sind, spätestens sechs Monate nach dem Vorfall.

Bestätigung: Der Formulardienst legt Ihre Formularangaben auf dem Server ab — ohne Ihre IP-Adresse — und schickt Ihnen in der Regel eine E-Mail mit einem Bestätigungsverweis an die angegebene Adresse. Absender dieser E-Mail ist unser Postfach info@welling-immo.com. Der Verweis öffnet eine Seite; erst Ihr Klick auf „Jetzt bestätigen“ gibt die Nachricht an uns weiter (ein bloßes Öffnen des Verweises, etwa durch einen Virenscanner, genügt nicht). Mit Ihrer Bestätigung wird die Zwischenablage sofort gelöscht; bestätigen Sie nicht, wird sie nach etwa zwei Stunden automatisch gelöscht. In Ausnahmefällen stellt der Dienst die Nachricht ohne Bestätigungsschritt unmittelbar und als unbestätigt gekennzeichnet zu — wenn das Kontingent für Bestätigungsmails (je Stunde oder Tag) erschöpft ist, wenn an dieselbe Adresse innerhalb von 24 Stunden schon eine Bestätigungsmail ging oder wenn deren Versand scheitert; eine weitere Bestätigungsmail erhalten Sie dann nicht. In allen diesen Fällen ist die Rückmeldung im Formular dieselbe wie im Regelfall, damit sich weder abfragen lässt, ob mit einer Adresse schon geschrieben wurde, noch wie ausgelastet der Dienst ist; Ihre Nachricht ist trotzdem eingegangen.

Zustellung: Nach Ihrer Bestätigung — bei unmittelbarer Zustellung sofort — wird die Nachricht als E-Mail über Microsoft 365 (Exchange Online) im eigenen Mandanten der Anton Welling Nachf. Oliver Welling e.K. zugestellt: Anfragen aus dem Kontaktformular an info@welling-immo.com, Anfragen aus dem Ankaufsformular an ankauf@welling-immo.com. Microsoft wird dabei als Auftragsverarbeiter tätig. Die interne Übergabemail enthält Ihre Formularangaben, aber weder Ihre IP-Adresse noch das Netz Ihres Anschlusses. Zum Ort der Speicherung bei Microsoft und zu möglichen Drittlandbezügen siehe den Abschnitt „Übermittlung in Drittländer“.

Zweck, Rechtsgrundlage und Speicherdauer.

Mit dem Kontrollkästchen unter dem Formular bestätigen Sie, dass Sie diese Datenschutzhinweise gelesen haben. Es ist keine Einwilligung im Sinne von Art. 6 Abs. 1 lit. a DSGVO; die Verarbeitung stützt sich auf die nachfolgend genannten Rechtsgrundlagen.

• Zweck: Bearbeitung und Beantwortung Ihrer Anfrage; daneben der Schutz des Formulars und unserer Postfächer vor Missbrauch
• Rechtsgrundlage der Anfragebearbeitung: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag oder dessen Anbahnung gerichtet ist; in allen übrigen Fällen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung von Anfragen
• Rechtsgrundlage der Bestätigungsmail, der Sicherheitsprüfung, der Mengenbegrenzung (einschließlich der Begrenzung auf eine Bestätigungsmail je Adresse und Tag) und der Protokolle: Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, das Formular und unsere Postfächer vor automatisiertem Missbrauch zu schützen und sicherzustellen, dass die angegebene Adresse wirklich der absendenden Person gehört
• Pflichtangaben: Name, E-Mail-Adresse und Nachricht, im Ankaufsformular außerdem Objekt und Ort; ohne sie können wir nicht antworten
• Speicherdauer: Zwischenablage auf dem Formulardienst bis zu Ihrer Bestätigung, etwa zwei Stunden; Pseudonym der E-Mail-Adresse zur Begrenzung der Bestätigungsmails etwa 24 Stunden; Protokolle des Formulardienstes 14 Tage; automatische Rückmeldungen auf Bestätigungsmails (etwa Unzustellbarkeitsmeldungen) gelangen in unser Postfach info@ und werden dort wie automatisiert erzeugte Zusendungen umgehend gelöscht; in unserem Postfach werden Zusendungen, die sich als automatisiert erzeugter Spam erweisen, umgehend gelöscht, alle übrigen so lange aufbewahrt, wie es zur Bearbeitung Ihrer Anfrage erforderlich ist, danach Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (etwa § 257 HGB, § 147 AO)
• Empfänger: ankauf@welling-immo.com, info@welling-immo.com

E-Mail, Telefon und Post

Wenn Sie uns eine E-Mail schreiben, uns anrufen oder uns einen Brief senden, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO.

Unsere E-Mail-Postfächer werden im eigenen Microsoft-365-Mandanten der Anton Welling Nachf. Oliver Welling e.K. betrieben; Microsoft wird dabei als Auftragsverarbeiter tätig. Zum Ort der Speicherung und zu möglichen Drittlandbezügen siehe den Abschnitt „Übermittlung in Drittländer“.

Bitte beachten Sie: Eine unverschlüsselte E-Mail ist wie eine Postkarte. Für vertrauliche Angaben verwenden Sie besser den Postweg oder das Telefon.

Schriften, Bilder und Medien

Die verwendete Schrift „Open Sans“ liegt in unserem eigenen Verzeichnis und wird vom selben Server ausgeliefert wie die Seite. Es besteht keine Verbindung zu einem Schriftendienst eines Dritten; dessen Server erfährt daher auch nichts über Ihren Besuch.

Ebenso werden alle Bilder von unserem eigenen Server ausgeliefert. Ein Auslieferungsnetz (Content Delivery Network) eines Dritten wird nicht verwendet.

Dienste, die derzeit nicht eingesetzt werden

Die folgenden Abschnitte sind vorgerüstet. Keiner dieser Dienste ist eingerichtet; keiner verarbeitet heute Daten. Sie stehen hier, damit erkennbar ist, was jeweils zu ergänzen wäre, bevor ein solcher Dienst eingeschaltet werden darf.

Diese Abschnitte und die Einwilligungsverwaltung werden aus derselben Konfigurationsdatei gespeist. Wird ein Dienst eingeschaltet, ändert sich diese Erklärung mit — und die Einwilligung wird ab diesem Zeitpunkt erfragt.

Empfänger Ihrer Daten

Wir geben personenbezogene Daten nicht zu Werbezwecken weiter und verkaufen sie nicht. Empfänger sind ausschließlich:

• der Anbieter des Servers als Auftragsverarbeiter, soweit die Verarbeitung technisch unvermeidbar ist
• der Betreiber unseres E-Mail-Systems, die Microsoft Ireland Operations Ltd., als Auftragsverarbeiter, soweit Sie uns schreiben oder eines unserer Formulare nutzen
• Behörden und Gerichte, soweit wir dazu gesetzlich verpflichtet sind
• unsere Berater, soweit sie zur Verschwiegenheit verpflichtet sind und die Kenntnis zur Wahrnehmung des Auftrags erforderlich ist

Übermittlung in Drittländer

Aufruf der Seiten: Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet im Zusammenhang mit dem Aufruf dieser Seiten nicht statt. Der Server steht in Deutschland; es sind keine Dienste Dritter eingebunden. Das gilt auch für den Formulardienst selbst, der auf demselben Server läuft.

Formulare und E-Mail: Nachrichten aus dem Kontakt- und dem Ankaufsformular, die Bestätigungsmail sowie E-Mails an uns werden über Microsoft 365 (Exchange Online) versandt, zugestellt und dort gespeichert. Auftragsverarbeiter ist die Microsoft Ireland Operations Ltd. mit Sitz in Irland. Nach den Vertragsbedingungen von Microsoft werden die Daten von Kunden in der Europäischen Union im Rahmen der sogenannten EU Data Boundary in Rechenzentren innerhalb der Europäischen Union gespeichert. Es lässt sich jedoch nicht ausschließen, dass die US-amerikanische Muttergesellschaft, die Microsoft Corporation, im Rahmen von Support- und Sicherheitsleistungen im Einzelfall auf Daten zugreift; darin kann eine Übermittlung in die Vereinigten Staaten liegen.

Für solche Übermittlungen stützt sich Microsoft auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags von Microsoft sind (Data Protection Addendum als Teil der Product Terms).

Sollte künftig ein weiterer Dienst eingeschaltet werden, bei dem eine solche Übermittlung stattfindet, wird das an dieser Stelle mit Angabe des Landes und der herangezogenen Garantie nach Art. 44 ff. DSGVO ausgewiesen.

Speicherdauer

Wir bewahren personenbezogene Daten nur so lange auf, wie es für den jeweiligen Zweck erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht.

• Verbindungsdaten des Servers: Zugriffsprotokoll (IP-Adresse gekürzt) höchstens sieben Tage, Abwehrprotokoll (volle IP-Adresse) höchstens 48 Stunden; zur Aufklärung eines konkreten Missbrauchs gesicherte Einträge spätestens sechs Monate nach dem Vorfall. Aufrufe des Bestätigungsverweises werden nicht protokolliert.
• Abrufstatistik (zusammengefasste Zählwerte, gekürzte Netzadressen): 400 Tage.
• Formulardienst: IP-Adresse (bei IPv6 das /64-Netz) zur Begrenzung der Zusendungen etwa eine Stunde, nur im Arbeitsspeicher; Zwischenablage einer Zusendung (ohne IP-Adresse) bis zu Ihrer Bestätigung, etwa zwei Stunden, danach automatische Löschung; Pseudonym der E-Mail-Adresse zur Begrenzung der Bestätigungsmails etwa 24 Stunden; Protokolle (ohne Nachrichtentext, IP-Adresse gekürzt) 14 Tage, ausgenommen zur Aufklärung eines konkreten Missbrauchs gesicherte Einträge (spätestens sechs Monate nach dem Vorfall); automatische Rückmeldungen auf Bestätigungsmails (in info@): umgehende Löschung.
• Anfragen per Formular, E-Mail, Telefon oder Post: Zusendungen, die sich als automatisiert erzeugter Spam erweisen, werden umgehend gelöscht; alle übrigen bis zur abschließenden Bearbeitung, danach Löschung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (etwa § 257 HGB, § 147 AO).
• Nachweis Ihrer Datenschutz-Einstellungen: allein in Ihrem Browser, bis Sie ihn löschen oder Ihre Auswahl ändern. Er entsteht überhaupt erst, wenn eine Einwilligung eingeholt wird.

Ihre Rechte

Als betroffene Person stehen Ihnen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche Daten wir über Sie verarbeiten, zu welchen Zwecken, an welche Empfänger und wie lange.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können verlangen, dass die Verarbeitung eingeschränkt wird, etwa während wir die Richtigkeit bestrittener Daten prüfen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, dass wir Ihnen die Daten, die Sie uns aufgrund einer Einwilligung oder eines Vertrages bereitgestellt haben, in einem gängigen, maschinenlesbaren Format übergeben.
• Mitteilungspflicht (Art. 19 DSGVO): Wir teilen jede Berichtigung, Löschung oder Einschränkung allen Empfängern mit, denen die Daten offengelegt wurden, soweit sich das nicht als unmöglich erweist oder einen unverhältnismäßigen Aufwand bedeutet.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten — das betrifft hier vor allem die Verbindungsdaten des Servers, die daraus erstellte Abrufstatistik, die Missbrauchsabwehr des Formulardienstes und die Bearbeitung nicht vertragsbezogener Anfragen —, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen.

Legen Sie Widerspruch ein, verarbeiten wir die Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für einen Widerspruch genügt eine formlose Nachricht an die oben genannte Anschrift oder E-Mail-Adresse.

Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Haben Sie in eine Verarbeitung eingewilligt, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf ist genauso einfach wie die Erteilung: Sobald eine Einwilligung zu Cookies und vergleichbaren Techniken eingeholt wird, genügt dafür der Verweis „Cookie-Einstellungen“ am Fuß jeder Seite; im Übrigen genügt eine formlose Nachricht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die Datenschutz-Grundverordnung verstößt. Zuständig ist die Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profilbildung im Sinne von Art. 22 DSGVO findet nicht statt.

Sind Sie verpflichtet, Daten bereitzustellen?

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die Angabe von Namen und Kontaktdaten können wir eine Anfrage allerdings nicht beantworten. Das bloße Lesen dieser Seiten setzt keine Angabe voraus.

Datensicherheit

Der Auftritt wird über eine verschlüsselte Verbindung ausgeliefert (HTTPS mit TLS); der eingesetzte Webserver Caddy richtet die Verschlüsselung selbsttätig ein und erneuert die Zertifikate. Eine verschlüsselte Verbindung erkennen Sie am Schloss in der Adresszeile Ihres Browsers.

Wir treffen darüber hinaus technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten gegen Verlust, Vernichtung und unbefugten Zugriff zu schützen. Die Maßnahmen werden an den Stand der Technik angepasst.

Offene Punkte

Die folgenden Angaben liegen zum Stand dieser Erklärung noch nicht vor. Sie werden hier nachgetragen, sobald sie feststehen. Sie sind hier ausgewiesen, statt ins Blaue hinein behauptet zu werden:

• Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit dem Anbieter des Servers — Abschluss noch nicht bestätigt.
• E-Mail-System (Microsoft 365): Der Auftragsverarbeitungsvertrag mit Microsoft gilt über das Data Protection Addendum als Teil der Product Terms. Der tatsächliche Datenspeicherort des eingesetzten Mandanten und die Formulierung der Abschnitte zu Microsoft sollen noch anwaltlich bestätigt werden.
• Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO — Prüfung noch nicht abgeschlossen.
• Rufnummer des zweiten Büros in Köln — noch nicht vergeben.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, sobald sich die beschriebenen Verarbeitungen ändern — insbesondere, wenn ein bislang nicht eingesetzter Dienst eingeschaltet wird. Maßgeblich ist stets die hier abrufbare Fassung mit dem oben genannten Stand.

Hinweis zum Stand dieses Textes

Diese Erklärung beschreibt den technischen Ist-Zustand des Auftritts zum genannten Stand. Sie ist keine Rechtsberatung. Vor der Veröffentlichung des Auftritts sollte sie anwaltlich geprüft und um die oben ausgewiesenen offenen Punkte ergänzt werden.