Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf cateree.de im Sinne der DSGVO ist Jan Kruft, Im Weier Ländchen 16, 53424 Remagen, Deutschland, Telefon +49 (0) 178 2938819, E-Mail [email protected] (siehe auch Impressum).

2. Das Wichtigste in Kürze

Ich selbst setze auf dieser Website keine Cookies und binde keine Inhalte, Schriftarten oder Skripte von Drittanbietern ein. Cloudflare kann technisch notwendige Sicherheits-Cookies setzen (Ziffer 4). Für die Reichweitenmessung nutze ich ein selbst betriebenes, cookieloses Werkzeug (Ziffer 6). Daten gibst Du nur dann aktiv preis, wenn Du Dich in die Warteliste einträgst oder mir eine E-Mail schreibst. Ob Du die E-Mails der Warteliste öffnest und welche Links Du darin anklickst, werte ich nur mit Deiner Einwilligung aus, die Du jederzeit widerrufen kannst (Ziffer 7).

3. Hosting (netcup)

Diese Website ist eine statische Website ohne Datenbank und ohne Benutzerkonten. Die Website wird auf eigenen Servern betrieben, die bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, angemietet sind. Die Server stehen in einem Rechenzentrum in Nürnberg (Deutschland). Mit netcup besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

4. Cloudflare (Content Delivery Network und Schutz)

Aufrufe dieser Seite laufen über Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare nimmt die Anfragen entgegen, leitet sie an meinen Server weiter und liefert die Antworten aus. Dabei verarbeitet Cloudflare IP-Adresse, angefragte URL, HTTP-Header und Zeitpunkt des Zugriffs, um Inhalte zwischenzuspeichern (Cache), Angriffe (z. B. DDoS) abzuwehren und die Verbindung per TLS zu verschlüsseln. Auch die Namensauflösung (DNS) der Domain erfolgt über Cloudflare.

Cloudflare verarbeitet die Daten in meinem Auftrag auf Grundlage einer Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO (Cloudflare Customer DPA). Eine Übermittlung in die USA ist dabei möglich. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); zusätzlich sind Standardvertragsklauseln vereinbart. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und sicheren Auslieferung).

Cloudflare löscht die Daten nach seinen eigenen Fristen; Protokolldaten werden dort nur kurzzeitig vorgehalten. Maßgeblich sind die Regelungen in der Vereinbarung zur Auftragsverarbeitung (Cloudflare Customer DPA, auf cloudflare.com/cloudflare-customer-dpa abrufbar).

Cloudflare kann im Rahmen des Bot-Schutzes technisch notwendige Sicherheits-Cookies (z. B. __cf_bm) setzen. Dieses Cookie dient der Erkennung automatisierter Zugriffe und der Sicherheit der Website; es ist für den von Dir gewünschten Seitenaufruf erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Informationen findest Du in der Datenschutzerklärung von Cloudflare (cloudflare.com/privacypolicy).

5. Zugriffsprotokolle (Server-Logs) und Schutz vor Angriffen

Bei jedem Aufruf dieser Seite verarbeitet der Webserver automatisch folgende Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, HTTP-Status, übertragene Datenmenge, Referrer (zuvor besuchte Seite) und User-Agent (Browser- und Betriebssystemangaben).

Zweck ist die Auslieferung der Seite, die Fehleranalyse sowie die Sicherheit und Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Die Protokolle werden 14 Tage gespeichert und danach automatisch gelöscht.

Die Protokolle werden automatisch auf Angriffsmuster untersucht, dafür kommt die Open-Source-Software CrowdSec zum Einsatz. Auffällige IP-Adressen werden zeitweise gesperrt; die zugehörigen Einträge werden spätestens nach 7 Tagen gelöscht. Die IP-Adresse und das erkannte Angriffsmuster auffälliger Zugriffe werden an die CrowdSec SAS (Frankreich, EU) übermittelt; im Gegenzug wird eine Liste bekannter Angreifer-IP-Adressen bezogen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Angriffen).

6. Reichweitenmessung mit Umami

Um zu verstehen, wie diese Seite genutzt wird (z. B. welche Inhalte gelesen werden und woher Besucherinnen und Besucher kommen), setze ich die Open-Source-Software Umami ein. Umami betreibe ich selbst auf meinen Servern bei netcup in Deutschland (siehe Ziffer 3); die Daten werden nicht an Dritte weitergegeben und nicht in ein Drittland übermittelt.

Beim Aufruf einer Seite lädt Dein Browser dazu ein kleines Skript von meinem Server (analytics.janlab.de) und übermittelt: aufgerufene Seite (URL) und Seitentitel, Referrer (zuvor besuchte Seite), Bildschirmgröße, Browsersprache sowie – vom Server aus der Anfrage abgeleitet – Browser, Betriebssystem, Gerätetyp und der ungefähre Standort (Land, Region und Stadt, ermittelt aus der IP-Adresse mit einer lokalen Geodatenbank). Deine IP-Adresse wird nur kurzzeitig zur Ermittlung des Standorts und zur Bildung einer Kennung verarbeitet und nicht gespeichert. Die Kennung ist ein Hash-Wert aus IP-Adresse, Browserangaben und einem Salt, der bei mir täglich wechselt; ein Wiedererkennen über mehrere Tage hinweg ist damit nicht möglich.

Umami setzt keine Cookies und legt keine Informationen auf Deinem Endgerät ab; es werden keine Profile erstellt. Das Skript liest allerdings Angaben Deines Browsers aus (Bildschirmgröße, Sprache) und prüft, ob Du die Messung im lokalen Speicher deaktiviert hast. Der Zugriff auf Informationen Deines Endgeräts erfolgt nur, soweit es für die Reichweitenmessung auf dieser Website unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG); die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO. Für die Datenbank von Umami werden verschlüsselte Sicherungskopien bei der OVHcloud (Object Storage, Region Deutschland) abgelegt; mit OVHcloud besteht ein Vertrag zur Auftragsverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer statistischen Auswertung der Nutzung, um das Angebot zu verbessern). Die gespeicherten Statistikdaten werden spätestens nach 24 Monaten gelöscht. Wenn Du in Deinem Browser „Do Not Track“ aktivierst, findet keine Messung statt. Unabhängig davon kannst Du der Verarbeitung jederzeit widersprechen (siehe Ziffer 11).

7. Warteliste (rapidmail)

Für die Warteliste nutze ich den Newsletter-Dienst rapidmail. Wenn Du Dich einträgst, werden Deine Angaben (Vorname, Unternehmen, E-Mail-Adresse) direkt an rapidmail übermittelt und dort in meinem Auftrag gespeichert. Mit rapidmail besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Anbieter von rapidmail ist laut dessen Impressum die Positive Group Deutschland GmbH, Ingeborg-Krummer-Schroth-Straße 18a, 79106 Freiburg im Breisgau.

Zweck: Über die Warteliste sende ich Dir per E-Mail Informationen und werbliche E-Mails zu Cateree sowie Tipps rund um Dein Catering-Business.

Double-Opt-in: Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Du erhältst eine E-Mail mit einem Bestätigungslink und stehst erst nach der Bestätigung auf der Warteliste. Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung werden protokolliert, um Deine Einwilligung nachweisen zu können.

Öffnungs- und Klick-Tracking: In den E-Mails, die ich über rapidmail versende, wird ausgewertet, ob und wann Du sie öffnest und welche Links Du darin anklickst. Dazu enthält jede E-Mail ein kleines, unsichtbares Bild (Zählpixel), das beim Öffnen von einem Server von rapidmail geladen wird. Die Links in den E-Mails führen zunächst über einen Server von rapidmail, der den Klick erfasst und Dich dann zum eigentlichen Ziel weiterleitet. Dabei werden Informationen wie Zeitpunkt, E-Mail-Adresse, Gerät und Mailprogramm erfasst. Ich nutze diese Auswertung, um zu erkennen, welche Inhalte auf Interesse stoßen, und die E-Mails danach auszurichten. Das geschieht nur auf Grundlage Deiner Einwilligung, die Du mit dem Häkchen im Anmeldeformular erteilst.

Rechtsgrundlage und Widerruf: Rechtsgrundlage für den Versand und das Öffnungs- und Klick-Tracking ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); für das Zählpixel und die Link-Weiterleitung, die Informationen über das Öffnen und Klicken auf Deinem Endgerät abrufen, zusätzlich § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über den Abmeldelink in jeder E-Mail oder formlos per E-Mail an [email protected]. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Nach dem Widerruf erhältst Du keine E-Mails mehr über die Warteliste, und es findet kein Tracking mehr statt.

Speicherdauer: Deine Angaben auf der Warteliste speichere ich, bis Du Dich abmeldest, längstens bis 12 Monate nach dem Produktstart von Cateree. Sollte ich das Vorhaben nicht weiterverfolgen, lösche ich die Warteliste spätestens 12 Monate danach. Den Nachweis Deiner Anmeldung im Double-Opt-in-Verfahren (Zeitpunkte und IP-Adressen von Anmeldung und Bestätigung) bewahre ich danach noch 3 Jahre auf, um meine Rechenschaftspflicht erfüllen und Deine Einwilligung belegen zu können (Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO); Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Nachweis einer wirksamen Einwilligung). Die Daten aus dem Öffnungs- und Klick-Tracking werden zusammen mit Deiner E-Mail-Adresse gelöscht. Nach einer Abmeldung kann rapidmail Deine E-Mail-Adresse auf einer Sperrliste führen, damit Dir keine E-Mails erneut zugesandt werden; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, eine erneute Zusendung zu verhindern).

8. Kontakt per E-Mail

Wenn Du mir eine E-Mail schreibst, verarbeite ich Deine E-Mail-Adresse, den Inhalt Deiner Nachricht und die Zeitpunkte des Austauschs, um Deine Nachricht zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen) bzw. Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage mit einem Vertrag zusammenhängt. Mein E-Mail-Postfach liegt bei der 1blu AG, Riedemannweg 60, 13627 Berlin, mit der ein Vertrag zur Auftragsverarbeitung besteht. Ich lösche die Daten, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

9. Schriftarten

Die verwendeten Schriftarten (Playfair Display, Open Sans) werden von diesem Server ausgeliefert; es findet keine Verbindung zu Google Fonts oder anderen Anbietern statt.

10. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Du bist nicht verpflichtet, personenbezogene Daten bereitzustellen. Beim Aufruf der Seite fallen die oben genannten technischen Daten jedoch zwingend an, damit die Seite ausgeliefert werden kann. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Die Öffnungs- und Klickauswertung der Wartelisten-E-Mails (Ziffer 7) ist Deiner E-Mail-Adresse zugeordnet. Auf ihrer Grundlage treffe ich keine Entscheidungen, die Dir gegenüber rechtliche Wirkung entfalten oder Dich in ähnlicher Weise erheblich beeinträchtigen.

11. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die zu Dir verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Du kannst der Verarbeitung Deiner Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, jederzeit aus Gründen widersprechen, die sich aus Deiner besonderen Situation ergeben. Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die Deine Interessen überwiegen.

Beschwerderecht (Art. 77 DSGVO): Du hast das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Deines gewöhnlichen Aufenthaltsorts, Deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für mich zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34
55116 Mainz
www.datenschutz.rlp.de