DE

Datenschutzerklärung

Version (gültig ab): 2026-10-25

1. Allgemeine Informationen

1.1. Überblick

Die folgenden Informationen geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten geschieht, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Ihre personenbezogenen Daten werden nicht an Dritte weitergegeben, es sei denn, dies ist für die in den einzelnen Abschnitten beschriebenen Verarbeitungszwecke erforderlich. Wenn wir Dienstleister beauftragen, verarbeiten diese Ihre Daten ausschließlich nach unseren Weisungen, verwenden sie nicht für eigene Zwecke und sind vertraglich zur Einhaltung der DSGVO verpflichtet.

Unsere Websites und Webanwendungen werden von der AtroCore GmbH (dem „Verantwortlichen") betrieben, deren vollständige Kontaktdaten im Impressum angegeben sind. Die Kontaktdaten unseres Datenschutzbeauftragten sind in Abschnitt 2.3. aufgeführt.

1.2. Datenerhebung

Wir erheben zwei Arten personenbezogener Daten. Erstens Daten, die Sie freiwillig bereitstellen – zum Beispiel wenn Sie ein Kontaktformular ausfüllen, ein Konto registrieren oder sich bei uns bewerben. Zweitens Daten, die automatisch von unseren IT-Systemen beim Besuch unserer Website erfasst werden, wie Browsertyp und -version, Betriebssystem, besuchte Seiten, Referrer-URL und Zeitstempel. Für Server-Protokolldateien gelten die in Abschnitt 4.3. genannten Fristen; bei der Webanalyse werden keine personenbezogenen Daten gespeichert (siehe Abschnitt 6.1.).

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Soweit Daten für den Abschluss oder die Durchführung eines Vertrags oder für die Bearbeitung Ihrer Anfrage erforderlich sind, können wir ohne diese Daten keinen Vertrag schließen bzw. Ihre Anfrage nicht bearbeiten.

1.3. Datenspeicherung

Wir speichern übermittelte Daten nur so lange, wie es zur Erfüllung des Zwecks, für den sie erhoben wurden, erforderlich ist – in der Regel bis zu zwei Jahre für Kontaktanfragen – und Server-Protokolldateien entsprechend Abschnitt 4.3., sofern keine gesetzliche Aufbewahrungspflicht eine abweichende Frist vorschreibt.

1.4. Zweck und Rechtsgrundlage

Wir verarbeiten Ihre Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

  • Erbringung unserer Leistungen und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
  • Sicherstellung einer sicheren, leistungsfähigen und zuverlässigen IT-Infrastruktur, einschließlich des Schutzes vor Angriffen (Art. 6 Abs. 1 lit. f DSGVO)
  • Erfüllung gesetzlicher Pflichten, z. B. steuerlicher und buchhalterischer Art (Art. 6 Abs. 1 lit. c DSGVO)
  • Bearbeitung von Anfragen und Kommunikation mit Interessenten (Art. 6 Abs. 1 lit. b und f DSGVO)

1.5. Automatisierte Entscheidungsfindung

Wir führen keine automatisierte Entscheidungsfindung oder Profilerstellung im Sinne von Art. 22 DSGVO durch, die rechtliche oder ähnlich bedeutsame Auswirkungen für Sie hätte.

1.6. Daten von Minderjährigen

Unsere Dienste richten sich an Nutzer ab 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren. Sollten wir feststellen, dass wir versehentlich Daten einer minderjährigen Person verarbeitet haben, werden wir diese unverzüglich löschen. Sofern das lokale Recht ein höheres Mindestalter für die Einwilligung vorsieht, halten wir diese Anforderung ein.

2. Datenschutz

2.1. Sicherheitsmaßnahmen

Wir treffen geeignete technische und organisatorische Maßnahmen, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit Ihrer personenbezogenen Daten gemäß der DSGVO und anderen anwendbaren Gesetzen zu gewährleisten. Wir behandeln alle personenbezogenen Daten streng vertraulich und verarbeiten sie ausschließlich zu den in dieser Erklärung genannten Zwecken.

Wir verwenden HTTPS/TLS zur Verschlüsselung der Daten bei der Übertragung und verschlüsseln Daten, wo zutreffend, auch bei der Speicherung. Wir testen, bewerten und überprüfen regelmäßig die Wirksamkeit unserer Sicherheitsmaßnahmen und beschränken den Zugriff auf Ihre Daten auf autorisiertes Personal.

Bitte beachten Sie, dass die Übertragung von Daten über das Internet nicht zu 100 % sicher garantiert werden kann.

2.2. Verantwortlicher

AtroCore GmbH
Johanna-Kinkel-Str. 1
93049 Regensburg
Deutschland
Telefon: +49 941 463 997-0
E-Mail:

2.3. Datenschutzbeauftragter

Wir haben einen Datenschutzbeauftragten mit den erforderlichen beruflichen Qualifikationen und dem notwendigen Fachwissen im Bereich des Datenschutzrechts und der Datenschutzpraxis gemäß Art. 37 Abs. 5 DSGVO bestellt. Der Datenschutzbeauftragte ist bei der Ausübung seiner Aufgaben weisungsfrei (Art. 38 Abs. 3 DSGVO). Wir stellen sicher, dass etwaige andere Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen (Art. 38 Abs. 6 DSGVO). Für alle Angelegenheiten im Zusammenhang mit Ihren personenbezogenen Daten – Anfragen, Fragen oder die Ausübung Ihrer Rechte nach der DSGVO – wenden Sie sich bitte an unseren Datenschutzbeauftragten:

Lyudmyla Artyukhova
E-Mail:

2.4. Meldung von Datenschutzverletzungen

Die AtroCore GmbH hat einen Prozess zur Reaktion auf Vorfälle eingerichtet, um eine schnelle Eindämmung, Bewertung und Behebung von Verletzungen des Schutzes personenbezogener Daten zu gewährleisten.

Bei der Feststellung einer tatsächlichen oder vermuteten Verletzung aktivieren wir unverzüglich unseren Reaktionsplan, isolieren betroffene Systeme und mindern laufende Risiken. Sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, melden wir diese der zuständigen Aufsichtsbehörde (Bayerisches Landesamt für Datenschutzaufsicht – BayLDA) unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO) mit folgenden Angaben:

  • Art und Umfang der Verletzung (Kategorien der Daten und ungefähre Anzahl der betroffenen Datensätze)
  • Voraussichtliche Folgen für die betroffenen Personen
  • Ergriffene oder geplante Maßnahmen zur Behebung der Verletzung und zur Minderung der nachteiligen Auswirkungen
  • Kontaktdaten unseres Datenschutzbeauftragten

Wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, informieren wir die betroffenen Personen ebenfalls unverzüglich (Art. 34 DSGVO) und beschreiben dabei die Art der Verletzung, ihre voraussichtlichen Folgen, unsere Abhilfemaßnahmen sowie praktische Schritte, die betroffene Personen zum Schutz ihrer Daten unternehmen können.

Wir führen für jede Verletzung ein detailliertes Protokoll, in dem Fakten, Auswirkungen und Abhilfemaßnahmen dokumentiert werden. Nach jedem Vorfall führen wir eine Ursachenanalyse durch und aktualisieren unsere technischen und organisatorischen Maßnahmen zur Vermeidung einer Wiederholung.

3. Ihre Rechte

Zur Ausübung der in diesem Abschnitt genannten Rechte wenden Sie sich bitte an unseren Datenschutzbeauftragten (Abschnitt 2.3.). Wir antworten kostenlos innerhalb eines Monats. Soweit erforderlich, können wir diese Frist um bis zu zwei weitere Monate verlängern und werden Sie innerhalb des ersten Monats über die Verlängerung und deren Gründe informieren.

3.1. Auskunftsrecht (Art. 15 DSGVO)

Sie können eine Bestätigung darüber verlangen, ob wir Ihre personenbezogenen Daten verarbeiten, und falls ja, eine Kopie dieser Daten zusammen mit Informationen über die Verarbeitungszwecke, Datenkategorien, Empfänger, Speicherfristen und Ihre Rechte anfordern.

3.2. Recht auf Berichtigung (Art. 16 DSGVO)

Wenn Ihre personenbezogenen Daten unrichtig oder unvollständig sind, können Sie uns bitten, diese unverzüglich zu berichtigen oder zu vervollständigen.

3.3. Recht auf Löschung (Art. 17 DSGVO)

Sie können die Löschung Ihrer personenbezogenen Daten verlangen, wenn diese für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind, wenn Sie Ihre Einwilligung widerrufen oder wenn die Verarbeitung anderweitig gegen die DSGVO verstößt. Wir kommen dem nach, sofern wir keine gesetzliche Verpflichtung oder überwiegende berechtigte Interessen zur weiteren Speicherung haben.

3.4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie können uns in bestimmten Fällen bitten, die Verarbeitung Ihrer Daten auszusetzen – zum Beispiel während wir deren Richtigkeit prüfen oder während ein Widerspruch anhängig ist.

3.5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese, soweit technisch machbar, an einen anderen Verantwortlichen zu übermitteln.

3.6. Widerspruchsrecht (Art. 21 DSGVO)

Sie können jederzeit der Verarbeitung Ihrer personenbezogenen Daten auf Grundlage unserer berechtigten Interessen widersprechen. Im Falle eines Widerspruchs stellen wir die Verarbeitung ein, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können oder die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

3.7. Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

3.8. Widerspruchsrecht gegen elektronische Werbung

Sie können jederzeit kostenlos der Verarbeitung Ihrer Daten zum Zweck der Zusendung von Werbekommunikation per E-Mail oder auf anderen elektronischen Wegen widersprechen (§ 7 UWG). Im Falle eines Widerspruchs stellen wir eine solche Verarbeitung unverzüglich ein. Wir untersagen die Nutzung der auf dieser Website erhobenen Kontaktdaten zur Zusendung unangeforderter Werbung; falls Sie dennoch solche Mitteilungen erhalten, können Sie sich an unseren Datenschutzbeauftragten wenden, der entsprechende Maßnahmen einleiten wird.

3.9. Beschwerderecht (Art. 77 DSGVO)

Sie haben das Recht, jederzeit Beschwerde bei einer Aufsichtsbehörde einzulegen, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen geltendes Recht verstößt. Die zuständige Behörde für die AtroCore GmbH ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Telefon: +49 981 53 1300
E-Mail:
Liste aller EU-Aufsichtsbehörden: https://www.edpb.europa.eu/about-edpb/about-edpb/members_de

4. Datenerhebung im Einzelnen

4.1. SSL-/TLS-Verschlüsselung

Diese Website verwendet HTTPS mit TLS 1.2 oder höher. Die Verschlüsselung besteht sowohl zwischen Ihrem Browser und Cloudflare als auch zwischen Cloudflare und unseren Servern (siehe Abschnitt 5.2.). Eine verschlüsselte Verbindung erkennen Sie am „https://"-Präfix und dem Schlosssymbol in der Adressleiste Ihres Browsers.

4.2. Cookies

Wir verwenden Cookies – kleine Textdateien, die von Ihrem Browser gespeichert werden – zur Verbesserung der Benutzerfreundlichkeit, Leistung und Sicherheit. Wir setzen ausschließlich technisch unbedingt erforderliche Cookies ein. Die Speicherung dieser Cookies und der Zugriff darauf erfolgen auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung der Daten beruht auf unserem berechtigten Interesse an einem funktionsfähigen und sicheren Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Diese Cookies ermöglichen grundlegende Funktionen wie Sitzungsverwaltung und sicheres Einloggen. Unsere eigenen Cookies werden beim Schließen des Browsers gelöscht. Zusätzlich setzt Cloudflare (Abschnitt 5.2.) zum Schutz unserer Websites vor automatisierten Angriffen folgende technisch unbedingt erforderliche Sicherheits-Cookies: __cf_bm (Bot-Erkennung; wird nach 30 Minuten Inaktivität gelöscht) und cf_clearance (Nachweis einer bestandenen Sicherheitsprüfung, damit diese nicht bei jeder Anfrage wiederholt wird). Die in diesem Abschnitt beschriebenen Cookies können ohne Beeinträchtigung der Kernfunktionalität nicht deaktiviert werden. Eine Einwilligung ist für diese Cookies nicht erforderlich.

Wir verwenden keine Präferenz-, Analyse-, Marketing- oder sonstigen nicht notwendigen Cookies.

Sie können Cookies über die Einstellungen Ihres Browsers verwalten oder löschen (blockieren, beim Schließen des Browsers löschen oder einzeln bestätigen). Bitte lesen Sie dazu die Hilfedokumentation Ihres Browsers.

4.3. Server-Protokolldateien

Bei jedem Zugriff auf unsere Website erfasst unser Server automatisch folgende Informationen:

  • Browsertyp und -version
  • Betriebssystem
  • Referrer-URL
  • Zeitstempel der Anfrage
  • Aufgerufene Seite (URL), HTTP-Statuscode und übertragene Datenmenge
  • IP-Adresse des zugreifenden Geräts

Da Anfragen über Cloudflare an unsere Server gelangen (Abschnitt 5.2.), übermittelt Cloudflare die ursprüngliche IP-Adresse Ihres Endgeräts an unsere Server.

Wir verarbeiten diese Protokolle auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherstellung der Stabilität, Sicherheit und Leistung unserer Dienste, insbesondere zur Erkennung und Abwehr von Angriffen und Missbrauch. Protokolle werden nicht mit Daten aus anderen Quellen zusammengeführt; der Zugriff ist auf autorisiertes Personal beschränkt. Die vollständigen Zugriffs- und Fehlerprotokolle werden nach sieben Tagen automatisch gelöscht. Es verbleibt eine Kopie, in der die IP-Adresse gekürzt ist (bei IPv4 auf die ersten drei Oktette, bei IPv6 auf die ersten 48 Bit), sodass sie nicht mehr einem einzelnen Gerät zugeordnet werden kann. Diese Kopie dient der Untersuchung von Sicherheitsvorfällen und wird zwölf Monate nach dem Zugriff automatisch gelöscht. Sicherheitsrelevante Ereignisse werden zusätzlich in unserem selbst betriebenen System zur Erkennung von Sicherheitsvorfällen gespeichert und nach zwölf Monaten gelöscht. Sie können dieser Verarbeitung jederzeit gemäß Art. 21 DSGVO widersprechen; siehe Abschnitt 3.6.

4.4. Kontaktformular

Wenn Sie über unser Kontaktformular eine Anfrage stellen, erheben wir die von Ihnen angegebenen Daten – wie Name, E-Mail-Adresse, Telefonnummer und Nachrichteninhalt – zur Bearbeitung und Beantwortung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen vorvertraglichen oder vertraglichen Sachverhalt betrifft, im Übrigen unser berechtigtes Interesse an der Beantwortung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Sie können der Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO jederzeit widersprechen (Abschnitt 3.6.). Wir speichern Kontaktformulareinsendungen bis zu zwei Jahre nach Abschluss Ihrer Anfrage oder bis Sie eine frühere Löschung beantragen, sofern keine gesetzlichen Aufbewahrungspflichten eine längere Speicherung erfordern.

4.5. Benutzerkonten (Community und Store)

In unserer Community (community.atrocore.com) und in unserem Store (store.atrocore.com) können Sie ein Benutzerkonto anlegen. Dafür verarbeiten wir Ihren Namen bzw. Benutzernamen, Ihre E-Mail-Adresse und ein Passwort; im Store zusätzlich die für Bestellungen erforderlichen Adress- und Unternehmensdaten (siehe Abschnitte 4.6. und 4.7.). Wir verarbeiten diese Daten zur Einrichtung und Verwaltung Ihres Kontos und zur Erfüllung des jeweiligen Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Ihre E-Mail-Adresse wird durch einen Bestätigungslink verifiziert. Passwörter werden ausschließlich als kryptografischer Hashwert gespeichert.

In der Community sind Ihre Beiträge, Ihr Benutzername und Ihr Profilbild für alle Besucher öffentlich sichtbar. Wir speichern die IP-Adresse, von der aus ein Beitrag verfasst oder ein Konto angelegt wurde, um Missbrauch (z. B. Spam) zu erkennen und abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Benachrichtigungen per E-Mail erhalten Sie entsprechend Ihren Kontoeinstellungen, die Sie jederzeit ändern können.

Wir verwenden Ihre E-Mail-Adresse zum Versand wesentlicher Dienstmitteilungen, wie Aktualisierungen unserer Nutzungsbedingungen. Ihre Kontodaten werden für die Dauer der Kontoaktivität gespeichert und danach nur noch im gesetzlich erforderlichen Umfang. Nach Löschung Ihres Kontos werden Ihre personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

4.6. Kunden- und Vertragsdaten

Wir erheben und verarbeiten Kunden- und Vertragsdaten – wie Name, Rechnungsadresse, Firmenname, USt-IdNr., E-Mail-Adresse und Zahlungsinformationen – nur in dem Umfang, der zur Begründung, Durchführung oder Änderung eines Vertragsverhältnisses erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO). Wir verarbeiten Nutzungsdaten (z. B. aufgerufene Seiten, Anmeldezeitstempel) ausschließlich, soweit dies für die Erbringung unserer Dienste oder zur Rechnungsstellung erforderlich ist.

Kunden- und Vertragsdaten werden gelöscht, sobald das Vertragsverhältnis endet oder der Auftrag abgeschlossen ist, sofern keine gesetzlichen Aufbewahrungspflichten eine weitere Speicherung erfordern (siehe Abschnitt 4.7. für die geltenden Aufbewahrungsfristen).

4.7. Zahlungsabwicklung

Wir erheben nur die zur Abwicklung Ihrer Transaktion erforderlichen Zahlungsdaten. Vollständige Zahlungskarteninformationen werden nicht auf unseren Servern gespeichert; Zahlungsdaten werden direkt an unsere PCI-DSS-zertifizierten Zahlungsdienstleister gemäß Auftragsverarbeitungsverträgen nach Art. 28 DSGVO übermittelt:

  • PayPal Europe S.à r.l. & Cie S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg
  • Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande

Transaktionsdatensätze (ohne vollständige Kartendaten) werden als Buchungsbelege gemäß § 257 Abs. 4 HGB und § 147 Abs. 3 AO acht Jahre lang aufbewahrt; Handelsbücher, Jahresabschlüsse und vergleichbare Unterlagen zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre. Etwaige Übermittlungen außerhalb des EWR sind durch Standardvertragsklauseln abgesichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.8. Audio- und Videokonferenzen

Wir nutzen Microsoft Teams (Microsoft Ireland Operations Limited, One Microsoft Place, Dublin 18, Irland) für Online-Meetings. Teams verarbeitet die von Ihnen angegebenen Daten (Name, E-Mail-Adresse, Profilbild), Sitzungsmetadaten, geteilte Inhalte, Chatnachrichten sowie Audio- und Videostreams. Für aufgezeichnete Meetings können KI-generierte Transkripte oder Zusammenfassungen erstellt werden.

Aufzeichnungen, Transkripte und Zusammenfassungen werden 30 Tage nach dem Meeting dauerhaft gelöscht, sofern keine gesetzliche Aufbewahrungspflicht eine längere Speicherung erfordert. Teilnehmer werden im Voraus informiert und müssen vor Beginn einer Aufzeichnung ausdrücklich einwilligen; die Einwilligung wird vom Meetingorganisator dokumentiert.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (vertragliche und vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an effizienter Kommunikation). Wir haben mit Microsoft Ireland Operations Limited einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Microsoft speichert Daten auf EU-Servern; begrenzte Übermittlungen in die USA (z. B. für globale Support-Operationen) sind durch den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen und Standardvertragsklauseln abgesichert (siehe Abschnitt 5.3.). Weitere Informationen entnehmen Sie bitte der Datenschutzerklärung von Microsoft.

4.9. Bewerbungen

Wir verarbeiten die in Ihrer Bewerbung übermittelten personenbezogenen Daten – wie Name, Adresse, Telefonnummer, Lebenslauf, Qualifikationen, Zeugnisse und Gesprächsnotizen – ausschließlich zur Beurteilung und Auswahl von Bewerbern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage).

Soweit wir besondere Kategorien personenbezogener Daten verarbeiten (Art. 9 DSGVO), holen wir vorab Ihre ausdrückliche und gesonderte Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO ein. Informationen aus dem polizeilichen Führungszeugnis verarbeiten wir nur, soweit dies für die konkrete Stelle gesetzlich zulässig ist (Art. 10 DSGVO), und bewahren sie nicht über den Bewerbungsprozess hinaus auf. Sie können eine gesondert erteilte Einwilligung jederzeit schriftlich gegenüber unserem Datenschutzbeauftragten (Abschnitt 2.3.) widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.

Bewerbungsdaten werden sechs Monate nach Abschluss des Einstellungsverfahrens aufbewahrt, um möglichen Rechtsansprüchen begegnen zu können. Mit Ihrer ausdrücklichen schriftlichen Einwilligung können wir Ihre Daten bis zu drei Jahre für die Berücksichtigung bei zukünftigen Stellenausschreibungen speichern.

4.10. Interessenabwägung

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben wir eine Abwägung vorgenommen, um sicherzustellen, dass unsere berechtigten Interessen Ihre Grundrechte und Grundfreiheiten nicht überwiegen. Weitere Informationen zu dieser Abwägung erhalten Sie auf Anfrage bei unserem Datenschutzbeauftragten (Abschnitt 2.3.).

5. Empfänger und Übermittlungen

5.1. Empfänger

Wir geben Ihre personenbezogenen Daten nur in dem Umfang weiter, der für die in dieser Erklärung beschriebenen Zwecke erforderlich ist. Empfänger sind:

  • IT-Dienstleister (z. B. Hosting, E-Mail)
  • Dienstleister für Content-Delivery und IT-Sicherheit
  • Zahlungsdienstleister
  • Behörden und Rechtsberater, soweit gesetzlich vorgeschrieben

Alle Auftragsverarbeiter sind durch Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO zur Einhaltung der DSGVO verpflichtet. Wir geben Daten ohne Ihre ausdrückliche Einwilligung nicht zu Werbe- oder Marketingzwecken weiter.

5.2. Hosting und Cloud-Dienste

Unsere Websites und Webanwendungen werden von der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, gehostet. Im Rahmen unserer Dienstleistungen verarbeitete personenbezogene Daten können auf Servern von Hetzner gespeichert werden, einschließlich Server-Protokolldateien, Metadaten, Vertragsdaten und Kontaktdaten. Alle Serverstandorte befinden sich in Deutschland oder der Europäischen Union. Wir haben mit Hetzner einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO.

Unsere Websites und Webanwendungen werden über das Content-Delivery- und Sicherheitsnetzwerk der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, ausgeliefert. Alle Anfragen an unsere Websites werden über Server von Cloudflare geleitet, bevor sie unsere Server bei Hetzner erreichen. Dabei verarbeitet Cloudflare insbesondere Ihre IP-Adresse, die aufgerufene URL, die von Ihrem Browser übermittelten HTTP-Header (z. B. User-Agent, Referrer-URL), Datum und Uhrzeit der Anfrage sowie sicherheitsrelevante Merkmale der Anfrage. Zweck ist die schnelle und zuverlässige Auslieferung unserer Websites und ihr Schutz vor Angriffen (z. B. DDoS-Angriffe, Bots und schädliche Anfragen). Hierzu beendet Cloudflare die verschlüsselte Verbindung auf seinen Servern und leitet die Anfrage über eine gesonderte verschlüsselte Verbindung an unsere Server weiter. Anfragen werden in der Regel im nächstgelegenen Rechenzentrum von Cloudflare verarbeitet, das sich für Besucher aus der EU in der Regel in der EU befindet. Cloudflare setzt zudem die in Abschnitt 4.2. beschriebenen Sicherheits-Cookies. Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Cloudflare ist nach dem EU-US-Datenschutzrahmen zertifiziert; Übermittlungen in die USA sind zusätzlich durch Standardvertragsklauseln abgesichert (siehe Abschnitt 5.3.). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, schnellen und zuverlässigen Bereitstellung unserer Websites). Sie können dieser Verarbeitung gemäß Art. 21 DSGVO widersprechen (Abschnitt 3.6.).

Für unseren E-Mail-Verkehr, einschließlich der Bearbeitung von Kontaktanfragen, nutzen wir Microsoft 365 (Exchange Online) der Microsoft Ireland Operations Limited, One Microsoft Place, Dublin 18, Irland. Dabei werden insbesondere Namen, E-Mail-Adressen, Inhalte und Metadaten der E-Mail-Kommunikation verarbeitet. Wir haben mit Microsoft einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Microsoft speichert die Daten auf Servern in der EU; begrenzte Übermittlungen in die USA sind durch den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen und Standardvertragsklauseln abgesichert (siehe Abschnitt 5.3.). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und zuverlässigen geschäftlichen Kommunikation).

Für den Versand automatisierter E-Mails (z. B. Kontobestätigungen, Benachrichtigungen aus der Community und Bestellbestätigungen aus dem Store) nutzen wir Brevo der Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich. Dabei werden insbesondere Ihre E-Mail-Adresse, Ihr Name sowie Inhalt und technische Metadaten der E-Mails (z. B. Versandzeitpunkt, Zustellstatus) verarbeitet. Wir haben mit Brevo einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Brevo verarbeitet die Daten in der EU; soweit Unterauftragsverarbeiter außerhalb des EWR eingesetzt werden, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (siehe Abschnitt 5.3.). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Zustellung von Systemnachrichten).

5.3. Drittlandübermittlungen

Soweit personenbezogene Daten in Länder außerhalb des EWR übermittelt werden, stützen wir uns auf folgende Garantien:

Standardvertragsklauseln (SCC 2021): In allen Auftragsverarbeitungsverträgen mit Verarbeitern in Drittländern werden die Standardvertragsklauseln der Europäischen Kommission von 2021 (Durchführungsbeschluss (EU) 2021/914) verwendet: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0914

EU-US-Datenschutzrahmen: Begrenzte Übermittlungen an Microsoft (Microsoft 365 und Teams) sowie Übermittlungen an Cloudflare in die USA sind durch den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen (Durchführungsbeschluss (EU) 2023/1795) sowie ergänzend durch Standardvertragsklauseln abgesichert: https://www.dataprivacyframework.gov

Verarbeitung innerhalb des EWR: Umami-Analysen und das gesamte Hetzner-Hosting erfolgen ausschließlich auf Servern in Deutschland oder der EU. PayPal und Mollie verarbeiten Zahlungsdaten ausschließlich innerhalb der EU und verwenden für etwaige Unterauftragsverarbeiter außerhalb des EWR Standardvertragsklauseln.

6. Webanalyse

6.1. Umami-Analyse

Wir verwenden Umami, eine datenschutzfreundliche Webanalyse-Lösung, die wir selbst auf unserer eigenen Infrastruktur in Deutschland betreiben, um zu verstehen, wie Besucher unsere Website nutzen, und um deren Inhalte und Benutzerfreundlichkeit zu verbessern.

Umami ist so konfiguriert, dass

  • keine Cookies gesetzt und kein Local Storage oder vergleichbarer Speicher in Ihrem Endgerät verwendet werden,
  • keine dauerhaften Kennungen (persistente Besucher-IDs) gebildet werden; es wird lediglich eine vorübergehende Sitzungs-ID als Einweg-Hash aus der gekürzten IP-Adresse, dem User-Agent und einem täglich wechselnden Zufallswert gebildet, sodass Seitenaufrufe höchstens innerhalb eines Tages und nicht tagesübergreifend verknüpft werden können,
  • keine Informationen aus Ihrem Endgerät ausgelesen werden; der Gerätetyp wird ausschließlich aus der Browserkennung (User-Agent) ermittelt, die Ihr Browser mit jeder Anfrage übermittelt,
  • kein Fingerprinting und kein seitenübergreifendes Tracking (Cross-Site-Tracking) stattfindet,
  • Ihre IP-Adresse unmittelbar nach dem Eingang und vor jeder weiteren Verarbeitung gekürzt und zu keinem Zeitpunkt vollständig gespeichert wird.

Bei einem Seitenaufruf werden folgende Daten erfasst: aufgerufene Seite (URL), Referrer-URL, Browsertyp, Betriebssystem, Gerätetyp (Desktop, Tablet oder Mobilgerät), Land (ermittelt aus der gekürzten IP-Adresse) sowie Zeitpunkt des Aufrufs. Diese Daten können weder von uns noch von Dritten Ihnen oder Ihrem Endgerät zugeordnet werden. Umami speichert daher keine personenbezogenen Daten; die erfassten Daten sind anonym im Sinne von Erwägungsgrund 26 DSGVO.

Wie alle Anfragen an unsere Websites gelangt auch die Analyseanfrage über Cloudflare (Abschnitt 5.2.) an unsere Server. Die Analysedaten werden ausschließlich auf unseren eigenen Servern verarbeitet, nicht an Dritte übermittelt und insbesondere nicht an Werbenetzwerke weitergegeben. Sie werden nach 12 Monaten automatisch gelöscht.

Personenbezogen ist allein Ihre vollständige IP-Adresse, die technisch bedingt mit jeder Anfrage übermittelt und nur kurzzeitig bis zu ihrer Kürzung vorgehalten wird. Rechtsgrundlage für diese kurzzeitige Verarbeitung ist unser berechtigtes Interesse an der Analyse und Verbesserung der Nutzung unserer Website (Art. 6 Abs. 1 lit. f DSGVO), vorbehaltlich der in Abschnitt 4.10. beschriebenen Interessenabwägung. Sie können dieser Verarbeitung jederzeit gemäß Art. 21 DSGVO widersprechen, indem Sie unseren Datenschutzbeauftragten (Abschnitt 2.3.) kontaktieren.

7. Sprache und Aktualisierungen

7.1. Maßgebliche Sprache

Diese Datenschutzerklärung wird in deutscher Sprache gepflegt. Bei Abweichungen zwischen verschiedenen Sprachversionen ist die deutsche Fassung maßgeblich.

7.2. Aktualisierungen

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Das Datum der aktuellen Fassung ist am Anfang dieses Dokuments angegeben. Über wesentliche Änderungen informieren wir Sie durch einen gut sichtbaren Hinweis auf unserer Website, bevor die Änderung in Kraft tritt.