Datenschutzhinweise.

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

Sara Heyder, Webdesign & Hosting
Ortsstraße 9c, 90522 Oberasbach, Deutschland
E-Mail: sara-heyder@motito.de

Wenn Sie HEYDERSITE per E-Mail, über das Kontaktformular dieser Website oder über Messenger (z. B. WhatsApp) kontaktieren, verarbeite ich die von Ihnen angegebenen Daten (Name, Kontaktdaten, Inhalt Ihrer Nachricht sowie freiwillig mitgeteilte Angaben zu Ihrem Projekt), um Ihre Anfrage zu beantworten und ein Angebot zu erstellen.

Soweit Sie selbst einen Vertrag anbahnen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei Anfragen als Ansprechpartner eines Unternehmens oder anderen geschäftlichen Anfragen gilt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen und Kommunikation mit den zuständigen Ansprechpartnern).

Zur Begründung, Durchführung und Abrechnung von Verträgen verarbeite ich Vertragsstammdaten (Name, Firma, Anschrift, Kontaktdaten), Vertragsinhalte (vereinbarte Leistungen, Preise) sowie Abrechnungsdaten (Rechnungsbeträge, Zahlungsstatus, Bankverbindung, soweit mir bekannt).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartei sind. Für Daten der Ansprechpartner eines Unternehmens gilt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchführung des Vertrags und geschäftlicher Kommunikation). Gesetzlich erforderliche Verarbeitung und Aufbewahrung beruhen auf Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen steuer- und handelsrechtlichen Vorschriften.

Die zur Bearbeitung einer Anfrage oder Durchführung eines Vertrags erforderlichen Kontakt-, Leistungs- und Abrechnungsdaten müssen bereitgestellt werden, damit die jeweilige Anfrage bearbeitet beziehungsweise der Vertrag durchgeführt werden kann. Ohne diese Angaben ist dies gegebenenfalls nicht möglich. Darüber hinausgehende Angaben sind freiwillig, soweit keine gesetzliche Pflicht zur Bereitstellung besteht.

Die monatliche Hosting- und Verwaltungspauschale von 25 Euro wird als wiederkehrende Zahlung über den externen Zahlungsdienstleister Stripe eingezogen.

Dabei verarbeitet Stripe die für die Zahlungsabwicklung erforderlichen Daten, etwa Name, Rechnungs- und Kontaktdaten, Betrag, Zahlungsart sowie die im Bezahlformular eingegebenen Zahlungsinformationen. Ich erhalte aus dem Stripe-Bezahlformular keine vollständigen Kreditkartennummern oder Kartenprüfdaten. Ich verarbeite selbst die notwendigen Kunden-, Vertrags-, Rechnungs- und Zahlungsstatusdaten einschließlich technischer Zahlungskennungen.

Rechtsgrundlage für die von mir veranlasste Verarbeitung zur Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO; für gesetzlich erforderliche Abrechnungsunterlagen gilt Art. 6 Abs. 1 lit. c DSGVO. Stripe kann je nach Verarbeitungstätigkeit als eigenständig Verantwortlicher, insbesondere zur Erfüllung eigener regulatorischer Pflichten, oder als Auftragsverarbeiter tätig werden. Maßgeblich sind die jeweilige Tätigkeit und die geltenden vertraglichen Regelungen, nicht eine pauschale Zuordnung aller Vorgänge.

Für deutsche Stripe-Konten nennt Stripe als Vertragsanbieter Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland; je nach Produkt können weitere Stripe-Gesellschaften beteiligt sein. Informationen zu den jeweils verantwortlichen Gesellschaften und der Verarbeitung durch Stripe finden Sie unter stripe.com/privacy.

Die Kommunikation mit Kunden erfolgt per E-Mail und – wenn gewünscht – über WhatsApp. Dabei werden die zur Kommunikation erforderlichen Daten verarbeitet. Bei der Nutzung von WhatsApp gelten zusätzlich die Datenschutzbestimmungen von WhatsApp/Meta; eine Nutzung erfolgt nur, wenn der Kunde diesen Kommunikationsweg selbst wählt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartei sind, andernfalls Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an geschäftlicher Kommunikation mit Kunden und deren Ansprechpartnern).

Die erstellten Websites werden derzeit über den externen Website- und Plattformdienst Lovable bereitgestellt und technisch verwaltet. Ich betreibe keine eigenen Hostingserver. Im Rahmen der vereinbarten Verwaltung verarbeite ich die erforderlichen Projekt-, Konfigurations- und Zugangsdaten sowie Website-Inhalte. Soweit darin personenbezogene Angaben enthalten sind, können diese auch durch die eingesetzten technischen Dienste verarbeitet werden.

Für die eigene Kunden- und Vertragsverwaltung bin ich Verantwortliche. Soweit ich personenbezogene Daten einer Kundenwebsite weisungsgebunden für deren Betreiber verarbeite, richtet sich die Verarbeitung nach Art. 28 DSGVO und dem erforderlichen Auftragsverarbeitungsvertrag. Der Websitebetreiber bleibt für seine eigenen Verarbeitungsvorgänge verantwortlich. Lovable kann für die technische Verarbeitung von Kundeninhalten als Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter und für eigene Konto-, Abrechnungs- oder Sicherheitszwecke als eigenständig Verantwortlicher tätig sein; maßgeblich sind der konkrete Vorgang und die vertragliche Einbindung. Ein Zugriff meinerseits auf Besucher- oder Anfrageinhalte erfolgt nur, soweit dies für die vereinbarte technische Verwaltung tatsächlich erforderlich ist.

Lovable nennt in seinen Datenschutzhinweisen Lovable Labs Sweden AB, Regeringsgatan 25, 111 53 Stockholm, Schweden. Informationen des Anbieters und dessen Datenschutzkontakte finden Sie unter lovable.dev/privacy.

Kundenprojekte werden organisatorisch und technisch getrennt voneinander verwaltet. Zugänge, Zugangsdaten und Projektinhalte eines Kunden werden nicht für andere Projekte verwendet und nicht an andere Kunden weitergegeben.

Kundenwebsites können Kontaktformulare enthalten. Die dort eingehenden Nachrichten werden technisch so eingerichtet, dass sie direkt an die vom Kunden angegebene Empfangsstelle (z. B. dessen E-Mail-Adresse) weitergeleitet werden.

Ich verwende diese Formulareingaben nicht für eigene Zwecke und speichere sie nicht in einer eigenen Kundendatenbank zwischen. Eine technische Verarbeitung oder Speicherung durch eingesetzte Formular-, E-Mail- oder Hostingdienste ist davon zu unterscheiden und wird hierdurch nicht ausgeschlossen. Soweit ich bei der Einrichtung oder beim Betrieb personenbezogene Daten weisungsgebunden für den Kunden verarbeite, ist vor Beginn dieser Verarbeitung ein gesonderter Vertrag nach Art. 28 DSGVO erforderlich (siehe Ziffer 14).

Für die weitere Bearbeitung, Beantwortung und Speicherung der Formularnachrichten ist der jeweilige Kunde als Betreiber seiner Website verantwortlich.

• Art. 6 Abs. 1 lit. b DSGVO: Vertragsanbahnung und Vertragserfüllung (Anfragen, Angebote, Projektdurchführung, Hosting, Abrechnung)
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung rechtlicher Pflichten, insbesondere steuer- und handelsrechtlicher Aufbewahrungspflichten
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen, z. B. Beantwortung geschäftlicher Anfragen, technische Verwaltung und Sicherung der betreuten Websites, Geltendmachung und Verteidigung von Rechtsansprüchen
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, soweit diese im Einzelfall eingeholt wird (z. B. für optionale Kommunikationswege)

Zur Erbringung meiner Leistungen setze ich technische Dienstleister ein. Je nach Projekt können dies insbesondere sein:

• Lovable für Bereitstellung und technische Verwaltung der Website-Projekte
• Stripe für Zahlungsabwicklung und damit verbundene Verarbeitungsvorgänge
• E-Mail- und Kommunikationsdienstleister für geschäftliche Korrespondenz und Nachrichtenübermittlung
• gegebenenfalls Steuerberatung zur Erfüllung gesetzlicher Pflichten

Eine Übermittlung erfolgt nur auf einer einschlägigen Rechtsgrundlage, insbesondere zur Vertragserfüllung, aufgrund gesetzlicher Pflichten, berechtigter Interessen oder einer Einwilligung. Die Rollen der Empfänger richten sich nach dem konkreten Zweck und den tatsächlichen Vereinbarungen. Eine erforderliche Auftragsverarbeitung ist nach Art. 28 DSGVO zu regeln.

Eine zusätzliche Quellcodesicherung in privaten GitHub-Repositories ist vorgesehen. GitHub ist nur dann Empfänger personenbezogener Daten eines konkreten Kundenprojekts, wenn diese Nutzung tatsächlich eingerichtet ist und personenbezogene Angaben in das Repository gelangen. Allein die Planung einer solchen Sicherung führt nicht zu einer Datenübermittlung. Eine tatsächliche Nutzung unterliegt den gesetzlichen Anforderungen an die jeweilige Verarbeitung und gegebenenfalls Auftragsverarbeitung.

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Soweit die jeweilige gesetzliche Aufbewahrungspflicht anwendbar ist, sind insbesondere Rechnungen und Buchungsbelege grundsätzlich acht Jahre, Handels- und Geschäftsbriefe sechs Jahre sowie Bücher und bestimmte weitere Unterlagen zehn Jahre aufzubewahren (§ 147 AO, § 257 HGB, § 14b UStG). Fristbeginn und etwaige Verlängerungen richten sich nach den gesetzlichen Vorschriften. Andere Vertragsdaten werden aufbewahrt, soweit sie zur Vertragsabwicklung oder zur Geltendmachung beziehungsweise Abwehr von Rechtsansprüchen erforderlich sind. Anfragen ohne Vertragsabschluss werden gelöscht, sobald sie nicht mehr erforderlich sind und keine Aufbewahrungspflichten oder sonstigen rechtmäßigen Aufbewahrungsgründe entgegenstehen.

Bei der Nutzung von Lovable und Stripe können Daten auch außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums verarbeitet werden, insbesondere in den USA. Maßgeblich sind die beteiligten Anbieter, deren eingesetzte Unterauftragnehmer und die konkrete Verarbeitung; es wird kein ausschließlicher Speicherort in Deutschland oder der EU zugesichert.

Übermittlungen in Drittländer erfordern eine Grundlage nach Kapitel V DSGVO. Ein Angemessenheitsbeschluss nach Art. 45 DSGVO kann nur herangezogen werden, soweit der konkrete Empfänger und die betreffende Verarbeitung davon erfasst sind. Andernfalls kommen insbesondere die EU-Standardvertragsklauseln nach Art. 46 DSGVO mit gegebenenfalls erforderlichen ergänzenden Maßnahmen in Betracht. Lovable nennt in seinen veröffentlichten Datenschutzhinweisen EU-Standardvertragsklauseln für entsprechende Übermittlungen aus dem EWR. Stripe beschreibt in seinem Privacy Center Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework für davon erfasste Übermittlungen an Stripe, LLC, sowie Standardvertragsklauseln. Diese Angaben der Anbieter ersetzen nicht die für den jeweiligen Verarbeitungsvorgang maßgebliche vertragliche und gesetzliche Grundlage. Auskunft zu den für eine konkrete Übermittlung maßgeblichen Garantien und die Bereitstellung einer Kopie kann über die in Ziffer 1 genannte Kontaktadresse angefordert werden.

Sie haben gegenüber HEYDERSITE folgende Rechte:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an sara-heyder@motito.de.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde des Bundeslandes, in dem Sie Ihren Wohnsitz oder Ihren Geschäftssitz haben, beziehungsweise die für HEYDERSITE zuständige Behörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Soweit ich im Rahmen der technischen Verwaltung einer Kundenwebsite personenbezogene Daten im Auftrag des Kunden verarbeite (z. B. beim Betrieb von Kontaktformularen), liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor.

In diesen Fällen ist vor Beginn der Verarbeitung ein gesonderter Auftragsverarbeitungsvertrag zwischen dem Kunden und HEYDERSITE abzuschließen. Eingesetzte Unterauftragsverarbeiter sind im Rahmen der gesetzlichen und vertraglichen Voraussetzungen einzubinden. Diese Datenschutzhinweise ersetzen weder diesen Vertrag noch die erforderlichen Vereinbarungen mit technischen Dienstleistern.

Ebenso ersetzen diese Hinweise nicht die Datenschutzhinweise der jeweiligen Kundenwebsites, für die der jeweilige Kunde als Betreiber verantwortlich ist.