Hinweise und Informationen zum Datenschutz

Wir freuen uns über Ihr Interesse an unseren Unternehmen und legen großen Wert auf den Schutz Ihrer personenbezogenen Daten sowie auf einen transparenten und vertrauensvollen Umgang mit Ihren Informationen.

Mit den nachfolgenden Datenschutzhinweisen informieren wir Sie darüber, welche personenbezogenen Daten bei der Nutzung dieser Webseite verarbeitet werden, zu welchen Zwecken dies erfolgt, auf welcher Rechtsgrundlage die Verarbeitung beruht und welche Rechte Ihnen dabei zustehen.

Diese Datenschutzhinweise gelten für sämtliche öffentlich zugänglichen Inhalte, Kontaktmöglichkeiten und technischen Funktionen dieser Webseite.

Soweit für einzelne Dienste oder Verarbeitungsvorgänge ergänzende Informationen erforderlich sind, werden diese unmittelbar an der jeweiligen Stelle bereitgestellt.

Diese Datenschutzhinweise werden regelmäßig überprüft und bei rechtlichen, technischen oder organisatorischen Änderungen aktualisiert. Maßgeblich ist jeweils die auf dieser Webseite veröffentlichte Fassung.

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verarbeitung

Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten.

Verantwortliche

Die Stelle, die allein oder gemeinsam über Zwecke und Mittel der Verarbeitung entscheidet.

Gemeinsame Verantwortliche

Mehrere Verantwortliche, die gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden (Art. 26 DSGVO).

Auftragsverarbeiter

Ein Dienstleister, der personenbezogene Daten ausschließlich im Auftrag und nach Weisung der Verantwortlichen verarbeitet.

Empfänger

Natürliche oder juristische Personen, denen personenbezogene Daten offengelegt werden.

2. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Die Webseite steven-buck.de wird gemeinschaftlich von der Buck GmbH, Lotter Str. 15, 49545 Tecklenburg, und der Steven+Gröters GmbH, Untergath 36, 47805 Krefeld, betrieben. Beide Unternehmen entscheiden für die gemeinsame Außendarstellung, den technischen Betrieb der Webseite, die Entgegennahme und Zuordnung von Kontaktanfragen sowie die Gewährleistung der IT-Sicherheit gemeinsam über Zwecke und wesentliche Mittel der Verarbeitung personenbezogener Daten.

Die Verantwortlichkeiten wurden in einer Vereinbarung gemäß Art. 26 DSGVO geregelt. Diese umfasst insbesondere die Erfüllung der Informationspflichten, die Bearbeitung von Betroffenenanfragen, die Abstimmung datenschutzrechtlicher Maßnahmen und die interne Zuordnung nachgelagerter Geschäftsprozesse. Die wesentlichen Inhalte der Vereinbarung werden betroffenen Personen auf Anfrage zur Verfügung gestellt.

Betroffenenrechte können gegenüber jedem der gemeinsam Verantwortlichen geltend gemacht werden. Als gemeinsame Anlaufstelle steht die E-Mail-Adresse info@steven-buck.de zur Verfügung.

3. Datenschutzbeauftragter

Steven+Gröters und Buck haben jeweils getrennt voneinander denselben externen Datenschutzbeauftragten benannt. Es handelt sich nicht um eine gemeinsame Bestellung. Die Personenidentität beruht auf zwei eigenständigen Benennungs- beziehungsweise Vertragsverhältnissen und verändert weder die getrennte datenschutzrechtliche Organisation beider Verantwortlicher noch die Aufgabenverteilung im Rahmen der gemeinsamen Verantwortlichkeit.

Für beide getrennten Benennungen gelten folgende Kontaktdaten:
Thomas Filipczyk
Benrather Straße 33
40721 Hilden
E-Mail: dsb@prodsb.de

Der Datenschutzbeauftragte ist für jeden Verantwortlichen jeweils gesondert Ansprechpartner für Fragen zum Datenschutz und für die Ausübung von Betroffenenrechten. Er berät und überwacht jeden Verantwortlichen im Rahmen des jeweiligen Benennungsverhältnisses unabhängig bei der Einhaltung datenschutzrechtlicher Vorgaben.

4. Rechtsgrundlagen der Verarbeitung

Je nach Verarbeitungsvorgang erfolgt die Verarbeitung personenbezogener Daten auf einer der folgenden Rechtsgrundlagen:

• 6 Abs. 1 lit. a DSGVO: Einwilligung der betroffenen Person.
• 6 Abs. 1 lit. b DSGVO: Durchführung vorvertraglicher Maßnahmen oder Erfüllung eines Vertrags.
• 6 Abs. 1 lit. c DSGVO: Erfüllung einer rechtlichen Verpflichtung.
• 6 Abs. 1 lit. f DSGVO: Wahrung berechtigter Interessen, insbesondere für den sicheren und störungsfreien Betrieb der Webseite und der
  IT-Systeme.
• 25 Abs. 2 Nr. 2 TDDDG: Speichern oder Auslesen von Informationen auf Endeinrichtungen, soweit dies unbedingt erforderlich ist, um einen von der Nutzerin oder dem Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Bei jedem Verarbeitungsvorgang werden im weiteren Verlauf dieser Datenschutzhinweise die jeweils einschlägige Rechtsgrundlage, die verarbeiteten Datenkategorien, der Zweck der Verarbeitung, die Speicherdauer sowie gegebenenfalls Empfänger oder Empfängerkategorien gesondert dargestellt.

5. Besuch der Webseite

Beim Aufruf unserer Webseite verarbeitet der Webserver automatisch technische Zugriffsdaten. Diese Verarbeitung ist erforderlich, damit die angeforderten Inhalte an Ihr Endgerät ausgeliefert, die Webseite funktionsfähig dargestellt und die Sicherheit der eingesetzten Systeme gewährleistet werden kann.

5.1 Verarbeitete Daten

Abhängig von Ihrem Endgerät, Browser und der angeforderten Ressource können insbesondere folgende Daten anfallen:

• IP-Adresse beziehungsweise ein daraus abgeleiteter oder anonymisierter Hostname,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL beziehungsweise angeforderte Datei,
• HTTP-Methode und HTTP-Statuscode,
• übertragene Datenmenge,
• Browsertyp und Browserversion, Betriebssystem und Gerätetyp,
• zuvor besuchte Seite (Referrer-URL), soweit diese vom Browser übermittelt wird.

5.2 Zwecke und Rechtsgrundlage

Die Verarbeitung erfolgt, um die Webseite technisch bereitzustellen, eine stabile Verbindung aufzubauen, Inhalte korrekt auszuliefern, technische Fehler zu erkennen und die Webseite sowie die zugrunde liegenden IT-Systeme vor Missbrauch und Angriffen zu schützen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen der gemeinsam Verantwortlichen liegen in der sicheren, stabilen und nutzerfreundlichen Bereitstellung ihres Internetauftritts sowie in der Gewährleistung der Informations- und Systemsicherheit.

5.3 Empfänger und Auftragsverarbeitung

Zugriff auf die technischen Daten erhalten nur die gemeinsam Verantwortlichen und die für Hosting, Administration und technische Wartung eingesetzten Dienstleister, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist. Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, sind sie durch Verträge nach Art. 28 DSGVO gebunden. Einzelheiten zum Hosting enthält Kapitel 7.

5.4 Speicherdauer

Daten, die nur für die unmittelbare Auslieferung der Webseite benötigt werden, werden nach Abschluss des jeweiligen Nutzungsvorgangs nicht dauerhaft gespeichert. Soweit technische Zugriffsdaten in Server- oder Fehlerprotokollen gespeichert werden, gelten die in den Kapiteln 8 und 9 genannten Speicherfristen. Eine längere Speicherung erfolgt nur, wenn sie im Einzelfall zur Aufklärung eines Sicherheitsvorfalls oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

5.5 Erforderlichkeit und Widerspruch

Die Bereitstellung der technischen Zugriffsdaten ist für den Besuch der Webseite technisch erforderlich. Ohne diese Daten kann die Webseite nicht oder nicht vollständig ausgeliefert werden. Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO besteht nach Maßgabe des Art. 21 DSGVO ein Widerspruchsrecht. Bei rein technisch erforderlichen Verarbeitungsvorgängen kann ein Widerspruch allerdings dazu führen, dass die Webseite nicht mehr genutzt werden kann.

5.6 Keine automatisierte Entscheidungsfindung

Die beim Besuch der Webseite anfallenden Daten werden nicht für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO verwendet.

6. Webhosting

Für die Bereitstellung dieser Webseite nutzen die gemeinsam Verantwortlichen einen technischen Dienstleister. Dieser greift zur Erbringung der Hosting-Leistungen auf die Infrastruktur der STRATO GmbH zurück. Beim Hosting werden die für den Betrieb der Webseite erforderlichen Inhalte, Datenbanken und technischen Verbindungsdaten innerhalb dieser vertraglichen Verarbeitungskette verarbeitet.

6.1 Hosting- und Auftragsverarbeitungskette

Der von den gemeinsam Verantwortlichen unmittelbar beauftragte technische Dienstleister ist im Rahmen der Hosting-Leistungen als Auftragsverarbeiter nach Art. 28 DSGVO eingebunden. Dieser Dienstleister setzt die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, als Unterauftragsverarbeiter ein. Zwischen den gemeinsam Verantwortlichen und STRATO besteht kein unmittelbares Auftragsverarbeitungsverhältnis. Weisungen der gemeinsam Verantwortlichen werden innerhalb der vertraglich geregelten Auftragsverarbeitungskette über den unmittelbar beauftragten Dienstleister umgesetzt.

6.2 Verarbeitete Daten

Im Rahmen des Hostings können insbesondere folgende Daten verarbeitet werden:

• Inhalte und Dateien der Webseite,
• Datenbankinhalte, soweit diese für Webseiten-Funktionen erforderlich sind,
• technische Zugriffs- und Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource und Statusinformationen,
• Fehler- und Sicherheitsprotokolle,
• Daten, die über Kontaktmöglichkeiten der Webseite übermittelt werden, soweit sie vorübergehend oder dauerhaft auf der Hosting-Infrastruktur gespeichert werden,
• administrative Daten, die bei der technischen Betreuung und Absicherung des Hosting-Pakets anfallen.

6.3 Zwecke und Rechtsgrundlage

Die Verarbeitung dient der Auslieferung der Webseite, der Speicherung und Verwaltung ihrer Inhalte, der Gewährleistung von Verfügbarkeit, Stabilität und IT-Sicherheit sowie der Erkennung und Behebung technischer Störungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen der gemeinsam Verantwortlichen liegen in der zuverlässigen, sicheren und wirtschaftlichen Bereitstellung ihres Internetauftritts. Soweit das Hosting der Durchführung vorvertraglicher Maßnahmen oder der Erfüllung eines Vertrags dient, ist Art. 6 Abs. 1 lit. b DSGVO ergänzend einschlägig.

6.4 Auftragsverarbeitung und Empfänger

Zwischen den gemeinsam Verantwortlichen und dem unmittelbar beauftragten technischen Dienstleister besteht eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Einbindung von STRATO als Unterauftragsverarbeiter erfolgt durch diesen Dienstleister auf Grundlage der vertraglich vorgesehenen Genehmigung. Der Dienstleister muss STRATO dieselben Datenschutzpflichten auferlegen, die ihm gegenüber den gemeinsam Verantwortlichen obliegen, und bleibt diesen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich. Eine Nutzung der Daten zu eigenen Zwecken ist innerhalb dieser Auftragsverarbeitungskette nicht gestattet.

6.5 Verarbeitungsort und Drittlandübermittlung

Die für diese Webseite eingesetzten Hosting-Systeme befinden sich nach den für das Projekt zugrunde gelegten Angaben in Rechenzentren in Deutschland. Eine Übermittlung der im Rahmen des Webhostings verarbeiteten personenbezogenen Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist nicht vorgesehen. Sollte sich dies ändern, werden die gemeinsam Verantwortlichen vorab die Voraussetzungen der Art. 44 ff. DSGVO prüfen und diese Datenschutzhinweise aktualisieren.

6.6 Speicherdauer und Löschung

Webseiten-Inhalte und sonstige auf der Hosting-Infrastruktur gespeicherte Daten werden verarbeitet, solange dies für den Betrieb der Webseite oder die jeweilige Webseiten-Funktion erforderlich ist. Nach Wegfall des Zwecks oder Beendigung des Hosting-Verhältnisses werden personenbezogene Daten nach Maßgabe der vertraglichen Löschregelungen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine befristete weitere Speicherung bestehen. Für Server- und Fehlerprotokolle gelten ergänzend die in den folgenden Kapiteln genannten Speicherfristen.

7. Server-Logfiles (Access-Logs)

Bei jedem Aufruf der Webseite erfasst der Webserver automatisch technische Informationen über den Zugriff. Diese Informationen werden in Server-Logfiles gespeichert. Die Protokollierung ist erforderlich, um die Webseite bereitzustellen, technische Störungen zu erkennen und die Sicherheit der Hosting-Infrastruktur zu gewährleisten.

7.1 Verarbeitete Daten

In den Access-Logs können insbesondere folgende Daten enthalten sein:

• Datum und Uhrzeit des Zugriffs,
• aufgerufene URL beziehungsweise angeforderte Datei,
• HTTP-Methode und HTTP-Statuscode,
• übertragene Datenmenge,
• Browsertyp und Browserversion,
• Betriebssystem und gegebenenfalls Gerätetyp,
• Referrer-URL, soweit diese vom Browser übermittelt wird,
• Hostname oder IP-Adresse des zugreifenden Systems in der vom Hosting-Dienstleister bereitgestellten anonymisierten Form.

7.2 Anonymisierung

Der Hosting-Dienstleister anonymisiert in den bereitgestellten Logfiles den Hostnamen beziehungsweise die IP-Adresse des zugreifenden Systems. Die gemeinsam Verantwortlichen erhalten daher im regulären Zugriff auf die Access-Logs keine vollständige IP-Adresse der Webseiten-Besucher. Unabhängig davon werden die Protokolldaten bis zur wirksamen Anonymisierung als personenbezogene Daten behandelt.

7.3 Zwecke der Verarbeitung

Die Access-Logs werden insbesondere zu folgenden Zwecken verarbeitet:

• technische Bereitstellung und Auslieferung der Webseite,
• Überwachung von Verfügbarkeit, Stabilität und Leistung,
• Erkennung und Analyse technischer Störungen,
• Erkennung, Eingrenzung und Abwehr von Angriffen oder missbräuchlichen Zugriffen,
• Nachvollziehbarkeit sicherheitsrelevanter Ereignisse.

7.4 Rechtsgrundlage und berechtigte Interessen

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen der gemeinsam Verantwortlichen liegen in der sicheren, stabilen und fehlerfreien Bereitstellung der Webseite, dem Schutz der IT-Systeme vor Angriffen und Missbrauch sowie der Aufklärung technischer und sicherheitsrelevanter Vorfälle.

7.5 Empfänger

Zugriff auf Protokolldaten können – soweit dies für Hosting, Administration, Fehleranalyse oder IT-Sicherheit erforderlich ist – die gemeinsam Verantwortlichen, der unmittelbar beauftragte technische Dienstleister als Auftragsverarbeiter sowie STRATO als dessen Unterauftragsverarbeiter erhalten. STRATO ist dabei nicht unmittelbar von den gemeinsam Verantwortlichen beauftragt, sondern innerhalb der vertraglich geregelten Auftragsverarbeitungskette über den technischen Dienstleister eingebunden. Eine Weitergabe an weitere Empfänger erfolgt nur, wenn sie gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

7.6 Speicherdauer

Die vom Hosting-Dienstleister bereitgestellten Access-Logs stehen für einen Zeitraum von bis zu sechs Wochen zur Verfügung und werden anschließend im Rahmen der technischen Abläufe gelöscht beziehungsweise überschrieben. Eine gesonderte längere Speicherung durch die gemeinsam Verantwortlichen erfolgt nur, wenn konkrete Anhaltspunkte für einen Sicherheitsvorfall oder eine rechtswidrige Nutzung bestehen und die Daten für dessen Aufklärung oder die Durchsetzung von Rechtsansprüchen erforderlich sind.

7.7 Keine Zusammenführung oder Profilbildung

Die Access-Logs werden nicht mit anderen Datenquellen zusammengeführt und nicht zur Erstellung von Nutzungs- oder Persönlichkeitsprofilen verwendet. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.

7.8 Widerspruch

Gegen die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO besteht nach Maßgabe des Art. 21 DSGVO ein Widerspruchsrecht. Da die Protokollierung für den sicheren technischen Betrieb der Webseite erforderlich ist, kann einem Widerspruch nur entsprochen werden, soweit keine zwingenden schutzwürdigen Gründe für die Verarbeitung entgegenstehen.

8. Fehlerprotokolle (Error-Logs)

Der Webserver erstellt bei fehlerhaften oder nicht erfolgreichen Zugriffen auf die Webseite technische Fehlerprotokolle. Diese Error-Logs unterstützen die gemeinsam Verantwortlichen und den Hosting-Dienstleister dabei, Störungen zu erkennen, ihre Ursachen einzugrenzen und den ordnungsgemäßen Betrieb der Webseite wiederherzustellen.

8.1 Abgrenzung zu Access-Logs

Während Access-Logs allgemeine Zugriffe auf die Webseite dokumentieren, enthalten Error-Logs vorrangig Informationen über fehlgeschlagene Anfragen, serverseitige Fehler und sonstige technische Auffälligkeiten. Die Protokolle werden ausschließlich für technische Betriebs-, Fehleranalyse- und Sicherheitszwecke verwendet.

8.2 Verarbeitete Daten

Abhängig von Art und Ursache des Fehlers können insbesondere folgende Daten enthalten sein:

• Datum und Uhrzeit des Ereignisses,
• aufgerufene URL beziehungsweise angeforderte Ressource,
• HTTP-Methode und HTTP-Statuscode,
• technische Fehler- oder Systemmeldung,
• Angaben zum betroffenen Serverprozess, Skript oder Dateipfad, soweit für die Fehleranalyse erforderlich,
• Browser- oder Clientinformationen, soweit diese übermittelt werden,
• Hostname oder IP-Adresse des zugreifenden Systems beziehungsweise deren anonymisierte Form, soweit diese Information zur technischen Einordnung des Fehlers benötigt wird.

8.3 Zwecke der Verarbeitung

Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:

• Erkennung und Behebung technischer Fehler,
• Analyse fehlgeschlagener oder abgebrochener Seitenaufrufe,
• Sicherstellung von Funktionsfähigkeit, Stabilität und Verfügbarkeit der Webseite,
• Erkennung fehlerhafter Konfigurationen, Skripte oder Webseiten-Komponenten,
• Unterstützung bei der Analyse sicherheitsrelevanter Auffälligkeiten.

8.4 Rechtsgrundlage und berechtigte Interessen

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen der gemeinsam Verantwortlichen liegen in der Gewährleistung eines funktionsfähigen und sicheren Internetauftritts, der zügigen Fehlerbehebung sowie der Vermeidung wiederkehrender technischer Störungen.

8.5 Empfänger und Zugriff

Empfänger der Error-Logs sind die gemeinsam Verantwortlichen, der unmittelbar beauftragte technische Dienstleister als Auftragsverarbeiter sowie STRATO als dessen Unterauftragsverarbeiter. Zugriff erhalten nur Personen, die mit Hosting, technischer Administration, Wartung, Fehleranalyse oder IT-Sicherheit befasst sind. Eine Weitergabe an sonstige Empfänger erfolgt nur, wenn hierfür eine gesetzliche Verpflichtung besteht oder dies zur Aufklärung eines konkreten Sicherheitsvorfalls beziehungsweise zur Durchsetzung von Rechtsansprüchen erforderlich ist.

8.6 Speicherdauer

Die vom Hosting-Dienstleister bereitgestellten Error-Logs stehen grundsätzlich für einen Zeitraum von bis zu fünf Tagen zur Verfügung. Danach werden sie im Rahmen der technischen Abläufe gelöscht oder überschrieben. Eine gesonderte längere Speicherung erfolgt nur im Ausnahmefall, wenn ein konkreter Fehler- oder Sicherheitsvorfall noch untersucht wird und die betreffenden Daten hierfür erforderlich sind. Nach Abschluss der Untersuchung werden solche gesondert gesicherten Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten oder Rechtsverteidigungsinteressen entgegenstehen.

8.7 Keine Profilbildung und automatisierte Entscheidung

Error-Logs werden nicht zur Analyse des Nutzungsverhaltens, zur Profilbildung oder für Werbezwecke verwendet. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

8.8 Widerspruch

Gegen die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO besteht nach Maßgabe des Art. 21 DSGVO ein Widerspruchsrecht. Da Error-Logs für Fehleranalyse, Betriebssicherheit und Wiederherstellung der Webseite erforderlich sein können, kann einem Widerspruch nur entsprochen werden, soweit keine zwingenden schutzwürdigen Gründe für die Verarbeitung entgegenstehen.

9. Content-Management-System (WordPress)

Für die Erstellung, Verwaltung und Veröffentlichung der Webseiten-Inhalte wird das Content-Management-System WordPress eingesetzt. WordPress ermöglicht den gemeinsam Verantwortlichen und den von ihnen beauftragten Personen, Seiten, Beiträge, Medien und technische Einstellungen der Webseite zu verwalten.

9.1 Selbst gehostete WordPress-Installation

Die WordPress-Software wird auf der in Kapitel 7 beschriebenen Hosting-Infrastruktur betrieben. Es handelt sich nicht um ein Hosting der Webseite über WordPress.com. Durch den bloßen Einsatz der lokal installierten WordPress-Software werden Besucherdaten daher nicht automatisch an WordPress.org oder WordPress.com übermittelt.

9.2 Zwecke der Verarbeitung

Die Verarbeitung im Zusammenhang mit WordPress dient insbesondere folgenden Zwecken:

• Erstellung, Bearbeitung und Veröffentlichung von Webseiten-Inhalten,
• technische Auslieferung und Darstellung der Webseite,
• Verwaltung von Medien, Seiten und Blogbeiträgen,
• Benutzer- und Berechtigungsverwaltung für Administratoren und Redakteure,
• Wartung, Aktualisierung und Absicherung des Content-Management-Systems,
• Erkennung und Behebung technischer oder sicherheitsrelevanter Störungen.

9.3 Daten von Administratoren und Redakteuren

Für Personen mit Zugang zum WordPress-Administrationsbereich werden insbesondere Benutzername, Anzeigename, E-Mail-Adresse, Benutzerrolle, verschlüsselt gespeicherte Authentifizierungsinformationen, Zeitpunkt und technische Umstände von Anmeldungen sowie Änderungen an Inhalten und Einstellungen verarbeitet. Abhängig von der Konfiguration können zusätzlich Sicherheits- und Aktivitätsprotokolle anfallen.

Die Verarbeitung dient der Authentifizierung, Rechteverwaltung, Nachvollziehbarkeit administrativer Änderungen und Absicherung des Systems. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit die Administration im Rahmen eines Beschäftigungs- oder Dienstleistungsverhältnisses erfolgt, kommen ergänzend die hierfür einschlägigen gesetzlichen und vertraglichen Rechtsgrundlagen zur Anwendung.

9.4 Daten von Webseiten-Besuchern

Beim rein lesenden Aufruf öffentlich zugänglicher WordPress-Inhalte verarbeitet das Content-Management-System grundsätzlich nur die Daten, die für die technische Auslieferung der angeforderten Seite erforderlich sind. Diese Verarbeitung ist insbesondere in den Kapiteln 6 bis 9 beschrieben.

Die Kommentarfunktion für Blogbeiträge ist deaktiviert. Besucher können daher keine öffentlichen Kommentare hinterlassen; eine Verarbeitung von Kommentardaten durch WordPress findet nicht statt. Öffentlich zugängliche Benutzerregistrierungen oder Benutzerkonten werden nicht angeboten.

9.5 Themes, Plugins und externe Funktionen

WordPress kann durch Themes und Plugins erweitert werden. Ob und welche personenbezogenen Daten eine solche Erweiterung verarbeitet, hängt von ihrer konkreten Funktion und Konfiguration ab. Erweiterungen, die eine eigenständige Verarbeitung auslösen, werden vor ihrem Einsatz datenschutzrechtlich geprüft und – soweit erforderlich – in einem gesonderten Kapitel dieser Datenschutzhinweise beschrieben.

Eine bloße Erwähnung in den von WordPress bereitgestellten Datenschutz-Hilfetexten ersetzt diese Prüfung nicht. Maßgeblich ist stets die tatsächlich eingesetzte und aktivierte Konfiguration der Webseite.

9.6 Cookies und lokale Speicherung

WordPress setzt im öffentlich zugänglichen Bereich keine Cookies zu Analyse- oder Werbezwecken ein. Für den Administrations-Login können technisch erforderliche Cookies gesetzt werden, insbesondere zur Prüfung der Cookie-Unterstützung, zur Authentifizierung und zur Aufrechterhaltung einer angemeldeten Sitzung. Einzelheiten enthält Kapitel 11.

9.7 Empfänger und Auftragsverarbeitung

Zugriff auf die im Content-Management-System gespeicherten Daten erhalten nur die gemeinsam Verantwortlichen, berechtigte Administratoren und Redakteure sowie beauftragte technische Dienstleister, soweit dies für Administration, Wartung oder Support erforderlich ist. Hosting-bezogene Verarbeitungen erfolgen über den unmittelbar beauftragten technischen Dienstleister als Auftragsverarbeiter; dieser setzt STRATO als Unterauftragsverarbeiter ein.

9.8 Speicherdauer und Löschung

Administrationskonten und die damit verbundenen Berechtigungsdaten werden gespeichert, solange der jeweilige Zugang benötigt wird. Nicht mehr erforderliche Konten werden deaktiviert oder gelöscht. Protokoll- und Sicherheitsdaten werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse oder IT-Sicherheit erforderlich ist. Veröffentlichte Inhalte und Medien bleiben gespeichert, solange sie Bestandteil der Webseite sind oder gesetzliche Aufbewahrungs- beziehungsweise Nachweispflichten bestehen.

9.9 Keine automatisierte Entscheidungsfindung

Die über WordPress verarbeiteten Daten werden nicht für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO verwendet.

10. Technisch notwendige Cookies

Cookies sind kleine Textinformationen, die über den Browser auf dem Endgerät gespeichert und bei späteren Aufrufen wieder ausgelesen werden können. Auf dieser Webseite werden ausschließlich Cookies eingesetzt, die für den sicheren Betrieb des WordPress-Administrationsbereichs technisch erforderlich sind. Cookies zu Analyse-, Reichweitenmessungs-, Personalisierungs- oder Werbezwecken werden nicht eingesetzt.

10.1 Öffentlicher Webseiten-Bereich

Beim gewöhnlichen Besuch der öffentlich zugänglichen Webseiten-Inhalte werden durch WordPress keine Analyse- oder Werbe-Cookies gesetzt. Die nachfolgend beschriebenen Cookies betreffen den Aufruf der WordPress-Loginseite oder die Nutzung des Administrationsbereichs durch berechtigte Administratoren und Redakteure.

10.2 Eingesetzte WordPress-Cookies

• wordpress_test_cookie: Prüft beim Aufruf der WordPress-Loginseite, ob der Browser Cookies akzeptiert. Das Cookie enthält keine Benutzerkennung und wird als Sitzungscookie beim Schließen des Browsers gelöscht.
• wordpress_[hash] beziehungsweise wordpress_sec_[hash]: Dient nach erfolgreicher Anmeldung der Authentifizierung im Administrationsbereich. Der variable Hash-Bestandteil unterscheidet die konkrete Installation. Das Cookie enthält Authentifizierungsinformationen in gesicherter Form, jedoch kein im Klartext gespeichertes Passwort. Die reguläre Gültigkeit beträgt grundsätzlich bis zu zwei Tage; bei aktivierter Funktion „Angemeldet bleiben“ bis zu 14 Tage.
• wordpress_logged_in_[hash]: Kennzeichnet eine angemeldete Sitzung und ermöglicht WordPress, den eingeloggten Benutzer für die Bedienung der Webseiten-Oberfläche zu erkennen. Die Speicherdauer entspricht grundsätzlich der gewählten Anmeldedauer.
• wp-settings-[UID] und wp-settings-time-[UID]: Speichert benutzerbezogene Einstellungen für die Darstellung und Bedienung des Administrationsbereichs. „UID“ steht für die interne Benutzerkennung. Die konkrete Speicherdauer richtet sich nach der WordPress-Konfiguration.
• wp_lang: Speichert die auf der Loginseite ausgewählte Sprache. Das Cookie wird für die Dauer der Browsersitzung gespeichert.

10.3 Zwecke der Speicherung und des Zugriffs

Die technisch notwendigen Cookies dienen ausschließlich folgenden Zwecken:

• Prüfung, ob der Browser Cookies unterstützt,
• sichere Authentifizierung berechtigter Administratoren und Redakteure,
• Aufrechterhaltung und Absicherung einer angemeldeten Sitzung,
• Verhinderung unberechtigter Zugriffe auf den Administrationsbereich,
• Speicherung erforderlicher Sprach- und Bedienungseinstellungen.

10.4 Rechtsgrundlagen

Die Speicherung von Informationen auf dem Endgerät und der Zugriff auf bereits gespeicherte Informationen erfolgen auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die Cookies sind unbedingt erforderlich, um den von den berechtigten Administratoren und Redakteuren ausdrücklich gewünschten Administrations- und Login-Dienst sicher bereitzustellen.

Soweit die Cookie-Nutzung mit einer Verarbeitung personenbezogener Daten verbunden ist, erfolgt diese auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen liegen in der Authentifizierung, Zugriffskontrolle, Sitzungsverwaltung und Sicherheit des Content-Management-Systems.

10.5 Einwilligung

Für die beschriebenen technisch notwendigen Cookies ist keine Einwilligung erforderlich. Sollten künftig Cookies oder vergleichbare Technologien eingesetzt werden, die für die Bereitstellung der ausdrücklich gewünschten Webseiten-Funktion nicht unbedingt erforderlich sind, werden diese erst nach einer wirksamen Einwilligung gesetzt und die Datenschutzhinweise entsprechend ergänzt.

10.6 Empfänger

Die Cookie-Informationen werden durch die lokal betriebene WordPress-Installation verarbeitet. Zugriff erhalten nur die gemeinsam Verantwortlichen, berechtigte Administratoren und Redakteure sowie erforderlichenfalls beauftragte technische Dienstleister. Eine Nutzung durch Werbe-, Analyse- oder Tracking-Anbieter erfolgt nicht.

10.7 Speicherdauer und Löschung

Sitzungscookies werden spätestens beim Schließen des Browsers gelöscht. Authentifizierungs- und Login-Cookies laufen grundsätzlich nach Ende der gewählten Anmeldedauer ab oder werden bei der Abmeldung ungültig. Cookies können außerdem jederzeit über die Einstellungen des Browsers gelöscht werden. Änderungen der WordPress- oder Sicherheitskonfiguration können zu abweichenden, kürzeren Speicherdauern führen.

10.8 Browser-Einstellungen und Folgen einer Blockierung

Sie können Ihren Browser so einstellen, dass Cookies angezeigt, eingeschränkt oder vollständig blockiert werden. Das Blockieren der beschriebenen Cookies beeinträchtigt den öffentlichen Besuch der Webseite nicht. Eine Anmeldung am WordPress-Administrationsbereich ist ohne die erforderlichen Authentifizierungs- und Sitzungscookies jedoch nicht möglich.

10.9 Keine Profilbildung

Die technisch notwendigen Cookies werden nicht zur Beobachtung des Nutzungsverhaltens, zur Erstellung von Nutzungs- oder Persönlichkeitsprofilen oder für automatisierte Entscheidungen im Sinne des Art. 22 DSGVO verwendet.

11. SSL-/TLS-Verschlüsselung

Diese Webseite nutzt Transport Layer Security (TLS), um Daten während der Übertragung zwischen dem Endgerät des Nutzers und dem Webserver zu schützen. TLS ist der technische Nachfolger von SSL; die geläufige Bezeichnung „SSL-Verschlüsselung“ wird daher häufig weiterhin verwendet.

11.1 Umfang der verschlüsselten Verbindung

Die verschlüsselte Verbindung umfasst den Aufruf der öffentlich zugänglichen Webseiten sowie die Übertragung von Daten über die auf der Webseite bereitgestellten Funktionen. Hierzu gehören insbesondere technische Verbindungsdaten und – soweit genutzt – Eingaben in Kontakt- oder Anmeldefunktionen.

11.2 Zwecke der Verschlüsselung

Die TLS-Verschlüsselung dient insbesondere dazu,

• die Vertraulichkeit übertragener Inhalte gegenüber unbefugten Dritten zu schützen,
• Manipulationen der übertragenen Daten während des Transports erkennbar zu machen,
• die Identität des angesprochenen Webservers anhand seines Zertifikats überprüfbar zu machen und
• die sichere Nutzung der Webseite und ihrer Kommunikationsfunktionen zu gewährleisten.

11.3 Erkennbarkeit im Browser

Eine verschlüsselte Verbindung ist regelmäßig an der mit „https://“ beginnenden Internetadresse erkennbar. Je nach Browser wird zusätzlich ein Schloss- oder ein vergleichbares Sicherheitssymbol angezeigt. Über die Zertifikatsinformationen des Browsers können unter anderem der Zertifikatsinhaber, die ausstellende Stelle und die Gültigkeitsdauer geprüft werden.

11.4 Verarbeitete Daten

Beim Aufbau der TLS-Verbindung werden technische Verbindungs- und Sicherheitsinformationen verarbeitet. Dazu können insbesondere IP-Adresse, aufgerufene Domain, Zeitpunkt des Verbindungsaufbaus, unterstützte Verschlüsselungsverfahren sowie Zertifikats- und Sitzungsinformationen gehören. Die TLS-Verschlüsselung selbst dient der Sicherung des Transportwegs und ist kein Verfahren zur Analyse des Nutzungsverhaltens.

11.5 Rechtsgrundlage

Soweit beim Aufbau und bei der Absicherung der verschlüsselten Verbindung personenbezogene Daten verarbeitet werden, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Gewährleistung der Vertraulichkeit, Integrität und Sicherheit der Webseiten-Kommunikation. Die Verschlüsselung ist zugleich eine technische Schutzmaßnahme im Sinne des Art. 32 DSGVO.

11.6 Zertifikate und technische Empfänger

Für die Bereitstellung und Prüfung des TLS-Zertifikats können der Hosting-Dienstleister, die ausstellende Zertifizierungsstelle und technisch erforderliche Validierungsdienste eingebunden sein. Dabei können die für Ausstellung, Verlängerung, Sperrprüfung und sichere Verbindungsherstellung erforderlichen technischen Daten verarbeitet werden. Im Übrigen gelten die Angaben in den Kapiteln zum Webhosting und zu den Empfängern.

11.7 Grenzen des Schutzes

Die TLS-Verschlüsselung schützt Daten während der Übertragung zwischen Browser und Webserver. Sie verhindert nicht jede mögliche Gefährdung auf dem verwendeten Endgerät, im Browser, beim E-Mail-Transport oder nach Eingang der Daten auf den beteiligten Systemen. Für E-Mail-Kommunikation gelten deshalb ergänzend die Hinweise im Kapitel „Kommunikation per E-Mail“.

11.8 Umgang mit Zertifikatswarnungen

Zeigt der Browser eine Zertifikats- oder Sicherheitswarnung an, sollte die Verbindung nicht ohne weitere Prüfung fortgesetzt und es sollten keine vertraulichen Daten übermittelt werden. In diesem Fall kann über die im Impressum oder in diesen Datenschutzhinweisen genannten Kontaktdaten eine Klärung veranlasst werden.

12. Kontaktaufnahme über das Kontaktformular

Über das auf der Webseite bereitgestellte Kontaktformular können Sie mit den gemeinsam Verantwortlichen Kontakt aufnehmen. Die eingegebenen Daten werden an das zentrale Postfach der gemeinsam Verantwortlichen übermittelt und dort zur Bearbeitung des jeweiligen Anliegens verarbeitet.

12.1 Verarbeitete Daten

Je nach Inhalt der Anfrage können insbesondere folgende Daten verarbeitet werden:

• Name und gegebenenfalls Unternehmen,
• E-Mail-Adresse und weitere mitgeteilte Kontaktdaten,
• Betreff und Inhalt der Nachricht,
• freiwillig übermittelte Angaben und beigefügte Informationen,
• Zeitpunkt der Übermittlung sowie technisch erforderliche Übertragungsdaten.

Pflichtfelder sind im Formular als solche gekennzeichnet. Sie werden benötigt, um die Anfrage zuzuordnen, zu beantworten und Missbrauch des Kontaktwegs zu vermeiden. Weitere Angaben sind freiwillig.

12.2 Zwecke der Verarbeitung

Die Verarbeitung erfolgt insbesondere zur

• Entgegennahme, Zuordnung und Beantwortung Ihrer Anfrage,
• Anbahnung oder Durchführung eines Vertragsverhältnisses, soweit Ihre Anfrage hierauf gerichtet ist,
• internen Weiterleitung an den sachlich zuständigen Ansprechpartner,
• Dokumentation der Kommunikation und getroffenen Maßnahmen sowie
• Abwehr missbräuchlicher oder sicherheitsrelevanter Nachrichten.

12.3 Rechtsgrundlagen

Bei Anfragen, die auf den Abschluss eines Vertrags gerichtet sind oder ein bestehendes Vertragsverhältnis betreffen, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Vorvertragliche Maßnahmen werden danach nur verarbeitet, soweit sie auf Ihre Anfrage hin erfolgen.

Bei sonstigen Anfragen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen bestehen in einer geordneten, effizienten und nachvollziehbaren Kommunikation, der Bearbeitung eingehender Anliegen sowie der Sicherheit des Kontaktwegs. Soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen, kann Art. 6 Abs. 1 lit. c DSGVO ergänzend maßgeblich sein.

12.4 Bearbeitung im Rahmen der gemeinsamen Verantwortlichkeit

Beide gemeinsam Verantwortlichen können auf die an das zentrale Postfach übermittelten Daten zugreifen. Die Anfrage wird nach ihrem Inhalt und Zuständigkeitsbereich dem jeweils zuständigen Verantwortlichen zugeordnet. Die interne Aufgabenverteilung richtet sich nach der Vereinbarung gemäß Art. 26 DSGVO; Ihre Betroffenenrechte können Sie ungeachtet dessen gegenüber jedem gemeinsam Verantwortlichen geltend machen.

12.5 Empfänger und technische Dienstleister

Zugriff erhalten nur die gemeinsam Verantwortlichen, zuständige Beschäftigte und erforderlichenfalls beauftragte technische Dienstleister, insbesondere für Webhosting, den Betrieb der Webseite und die Bereitstellung der E-Mail-Infrastruktur. Dienstleister werden – soweit erforderlich – auf Grundlage eines Vertrags nach Art. 28 DSGVO eingesetzt. Ergänzend gelten die Kapitel zu Webhosting, Empfängern und Auftragsverarbeitern.

12.6 Speicherdauer und Löschung

Die über das Kontaktformular übermittelten Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine weitere Speicherung erforderlich ist. Eine längere Aufbewahrung kann sich insbesondere aus gesetzlichen handels- oder steuerrechtlichen Pflichten, aus der Durchführung eines Vertrags oder aus der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ergeben. In diesen Fällen wird die Verarbeitung auf den jeweiligen Zweck beschränkt und die Löschung nach Ablauf der maßgeblichen Frist vorgenommen.

12.7 Erforderlichkeit der Bereitstellung

Die Bereitstellung der als Pflichtfelder gekennzeichneten Daten ist erforderlich, wenn Sie das Kontaktformular nutzen möchten. Ohne diese Angaben kann die Anfrage möglicherweise nicht übermittelt oder sachgerecht beantwortet werden. Es besteht keine gesetzliche Pflicht, das Kontaktformular zu verwenden; alternativ können Sie die angegebenen sonstigen Kontaktwege nutzen.

12.8 Widerspruch und Betroffenenrechte

Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gemäß Art. 21 DSGVO widersprechen. Außerdem können Sie insbesondere Berichtigung oder – bei Vorliegen der gesetzlichen Voraussetzungen – Löschung oder Einschränkung der Verarbeitung verlangen. Bereits rechtmäßig erfolgte Verarbeitungen und gesetzliche Aufbewahrungspflichten bleiben unberührt.

12.9 Keine automatisierte Entscheidungsfindung

Die über das Kontaktformular übermittelten Daten werden nicht für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO verwendet.

13. Kommunikation per E-Mail

Wenn Sie per E-Mail Kontakt aufnehmen, werden die mit der Nachricht übermittelten personenbezogenen Daten zur Entgegennahme, Zuordnung und Bearbeitung Ihres Anliegens verarbeitet. Eingehende Nachrichten werden an das zentrale Postfach der gemeinsam Verantwortlichen zugestellt und entsprechend der internen Aufgabenverteilung weiterbearbeitet.

13.1 Verarbeitete Daten

Im Rahmen der E-Mail-Kommunikation können insbesondere folgende Daten verarbeitet werden:

• Absender- und Empfängeradresse sowie weitere Adressierungsangaben,
• Name, Unternehmen, Funktion und mitgeteilte Kontaktdaten,
• Betreff, Nachrichtentext, Signatur und Anhänge,
• Datum und Uhrzeit des Versands und Empfangs,
• technische Nachrichten- und Übertragungsdaten, insbesondere Message-ID, beteiligte Mailserver und Zustellstatus.

13.2 Zwecke der Verarbeitung

Die Daten werden insbesondere verarbeitet zur

• Entgegennahme, Zuordnung und Beantwortung Ihrer Nachricht,
• Anbahnung oder Durchführung eines Vertragsverhältnisses, soweit die Kommunikation hierauf gerichtet ist,
• internen Abstimmung und Weiterleitung an zuständige Ansprechpartner,
• Dokumentation geschäftlicher Vorgänge und getroffener Maßnahmen,
• Gewährleistung der IT- und Kommunikationssicherheit sowie Abwehr unerwünschter oder schädlicher Nachrichten.

13.3 Rechtsgrundlagen

Betrifft die Nachricht die Anbahnung oder Durchführung eines Vertrags, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Vorvertragliche Maßnahmen werden nur verarbeitet, soweit sie auf Ihre Anfrage hin erfolgen.

Bei sonstigen Nachrichten ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage. Die berechtigten Interessen bestehen in einer geordneten, effizienten und nachvollziehbaren Kommunikation, der Bearbeitung eingehender Anliegen sowie der Sicherheit der E-Mail-Infrastruktur. Soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen, kann Art. 6 Abs. 1 lit. c DSGVO ergänzend maßgeblich sein.

13.4 Bearbeitung durch die gemeinsam Verantwortlichen

Beide gemeinsam Verantwortlichen können auf Nachrichten im zentralen Postfach zugreifen. Die weitere Bearbeitung übernimmt der nach Inhalt und Zuständigkeit zuständige Verantwortliche. Die interne Aufgabenverteilung richtet sich nach der Vereinbarung gemäß Art. 26 DSGVO. Betroffenenrechte können Sie ungeachtet dieser Aufgabenverteilung gegenüber jedem gemeinsam Verantwortlichen geltend machen.

13.5 Empfänger und Dienstleister

Zugriff erhalten nur die gemeinsam Verantwortlichen, zuständige Beschäftigte sowie erforderlichenfalls beauftragte IT- und E-Mail-Dienstleister. Beim Versand und Empfang können außerdem die Mailserver und Telekommunikationsdienste des Absenders, des Empfängers und zwischengeschalteter Anbieter technisch beteiligt sein. Auftragsverarbeiter werden – soweit erforderlich – nach Art. 28 DSGVO eingebunden. Ergänzend gelten die Kapitel zu Empfängern, Auftragsverarbeitern und Datenübermittlungen in Drittländer.

13.6 Vertraulichkeit der Übertragung

E-Mails werden regelmäßig transportverschlüsselt übertragen, sofern die beteiligten Mailserver dies unterstützen. Eine Transportverschlüsselung schützt den Übertragungsweg zwischen den beteiligten Servern, stellt jedoch keine durchgehende Ende-zu-Ende-Verschlüsselung des Nachrichteninhalts sicher. Übermitteln Sie besondere Kategorien personenbezogener Daten oder andere besonders vertrauliche Informationen daher nur nach vorheriger Abstimmung über einen geeigneten sicheren Übermittlungsweg.

13.7 Spam- und Schadsoftwareprüfung

Eingehende und ausgehende Nachrichten können automatisiert auf Spam, Schadsoftware und sicherheitsrelevante Merkmale geprüft werden. Hierbei werden Nachrichten- und Verbindungsdaten ausschließlich zum Schutz der E-Mail-Systeme, der Empfänger und der Kommunikation verarbeitet. Eine solche Sicherheitsprüfung dient nicht der Bewertung persönlicher Aspekte der betroffenen Person.

13.8 Speicherdauer und Löschung

E-Mail-Nachrichten werden gelöscht, sobald die Kommunikation abgeschlossen ist und keine weitere Speicherung für den jeweiligen Zweck erforderlich ist. Die Erforderlichkeit wird regelmäßig geprüft. Eine längere Aufbewahrung kann sich insbesondere aus handels- oder steuerrechtlichen Pflichten, aus einem Vertragsverhältnis oder aus der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen ergeben. In diesen Fällen wird die Verarbeitung auf den jeweiligen Zweck beschränkt und die Löschung nach Ablauf der maßgeblichen Frist vorgenommen.

13.9 Erforderlichkeit und Widerspruch

Die Bereitstellung einer E-Mail-Adresse und der zur Bearbeitung erforderlichen Angaben ist notwendig, wenn Sie diesen Kommunikationsweg nutzen möchten. Es besteht keine gesetzliche Pflicht zur Kontaktaufnahme per E-Mail. Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gemäß Art. 21 DSGVO widersprechen. Gesetzliche Aufbewahrungspflichten und andere vorrangige Rechtsgründe bleiben unberührt.

13.10 Keine automatisierte Entscheidungsfindung

Die im Rahmen der E-Mail-Kommunikation verarbeiteten Daten werden nicht für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO verwendet.

14. Protokollierung des E-Mail-Verkehrs (Mail-Logs)

Zum sicheren und störungsfreien Betrieb des E-Mail-Systems werden technische Ereignisse in Mail-Logs protokolliert. Diese Protokolle dokumentieren insbesondere die Verarbeitung und Zustellung von Nachrichten und unterstützen die Erkennung sowie Behebung technischer oder sicherheitsrelevanter Störungen.

14.1 Verarbeitete Protokolldaten

Abhängig vom jeweiligen Ereignis können Mail-Logs insbesondere folgende Daten enthalten:

• Absender- und Empfängeradresse,
• Datum und Uhrzeit von Annahme, Verarbeitung und Zustellversuch,
• Message-ID, Queue-ID und sonstige technische Nachrichtenkennungen,
• Zustellstatus, Fehlercodes und Rückmeldungen beteiligter Mailserver,
• IP-Adresse beziehungsweise Hostname beteiligter Systeme,
• Informationen zu Authentifizierungs- und Anmeldeereignissen,
• Angaben zur verwendeten Transportverschlüsselung sowie
• Größe und technische Eigenschaften der Nachricht.

14.2 Abgrenzung zu Nachrichteninhalten

Der Text der E-Mail und etwaige Anhänge sind nicht Bestandteil der technischen Mail-Logs. Soweit einzelne Fehlermeldungen oder Sicherheitsereignisse ausnahmsweise technische Ausschnitte oder Kennungen einer Nachricht enthalten, werden diese nur für den jeweiligen Betriebs- oder Sicherheitszweck verarbeitet. Die reguläre Speicherung der Nachricht selbst richtet sich nach Kapitel 14 „Kommunikation per E-Mail“.

14.3 Zwecke der Protokollierung

Die Mail-Logs werden insbesondere verarbeitet zur

• Sicherstellung der Verfügbarkeit und Funktionsfähigkeit des E-Mail-Systems,
• Nachvollziehbarkeit von Annahme, Weiterleitung und Zustellung,
• Erkennung, Eingrenzung und Behebung technischer Fehler,
• Abwehr von Spam, Schadsoftware, unberechtigten Zugriffen und sonstigem Missbrauch,
• Analyse sicherheitsrelevanter Ereignisse und Unterstützung der Wiederherstellung des sicheren Betriebs.

14.4 Rechtsgrundlage und berechtigte Interessen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen bestehen in der Gewährleistung eines sicheren, verfügbaren und störungsfreien E-Mail-Betriebs, dem Schutz der Kommunikationssysteme und ihrer Nutzer sowie der Aufklärung technischer und sicherheitsrelevanter Vorfälle.

14.5 Zugriff und Empfänger

Zugriff auf Mail-Logs erhalten nur hierzu berechtigte Administratoren, die gemeinsam Verantwortlichen sowie erforderlichenfalls beauftragte IT- und E-Mail-Dienstleister. Eine Offenlegung an weitere Empfänger erfolgt nur, wenn sie zur Untersuchung eines konkreten Vorfalls erforderlich ist oder eine gesetzliche Verpflichtung besteht. Auftragsverarbeiter werden – soweit erforderlich – nach Art. 28 DSGVO eingebunden.

14.6 Speicherdauer und Löschung

Mail-Logs werden nur so lange gespeichert, wie dies für Betrieb, Fehleranalyse und IT-Sicherheit erforderlich ist. Sie werden anschließend nach den für das E-Mail-System festgelegten Lösch- und Rotationszyklen gelöscht oder überschrieben. Bei einem konkreten Fehler- oder Sicherheitsvorfall können die hierfür erforderlichen Protokolldaten bis zum Abschluss der Untersuchung und erforderlichenfalls darüber hinaus zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aufbewahrt werden.

14.7 Zusammenführung und Zweckbindung

Mail-Logs werden nicht zur allgemeinen Beobachtung des Kommunikationsverhaltens oder zur Erstellung von Nutzungs- oder Persönlichkeitsprofilen verwendet. Eine Zusammenführung mit anderen Daten erfolgt nur, soweit dies zur Analyse eines konkreten technischen oder sicherheitsrelevanten Ereignisses erforderlich ist.

14.8 Widerspruch

Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gemäß Art. 21 DSGVO widersprechen. Die Protokollierung ist für den sicheren E-Mail-Betrieb regelmäßig technisch erforderlich; einem Widerspruch kann daher insbesondere dann nicht entsprochen werden, wenn zwingende schutzwürdige Gründe für die Verarbeitung vorliegen.

14.9 Keine automatisierte Entscheidungsfindung

Mail-Logs werden nicht für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO verwendet. Automatisierte technische Prüfungen zur Spam- und Schadsoftwareabwehr dienen ausschließlich dem Schutz der Systeme und Kommunikation.

15. Empfänger personenbezogener Daten

Personenbezogene Daten werden nur offengelegt, wenn dies für den jeweiligen Verarbeitungszweck erforderlich ist, eine Rechtsgrundlage besteht und die datenschutzrechtlichen Voraussetzungen eingehalten werden. Eine Weitergabe an Dritte zu deren eigenen Werbe-, Analyse- oder Vermarktungszwecken erfolgt grundsätzlich nicht.

15.1 Interne Zugriffsberechtigte

Innerhalb des Verantwortungsbereichs erhalten nur solche Personen Zugriff, die die Daten zur Erfüllung ihrer Aufgaben benötigen. Hierzu können die gemeinsam Verantwortlichen, zuständige Beschäftigte, Administratoren und ausdrücklich autorisierte Ansprechpartner gehören. Zugriffsrechte werden nach dem Erforderlichkeitsprinzip vergeben und auf den jeweiligen Aufgabenbereich beschränkt.

15.2 Auftragsverarbeiter

Soweit für Betrieb und Sicherheit der Webseite oder der Kommunikationssysteme erforderlich, können sorgfältig ausgewählte Dienstleister personenbezogene Daten im Auftrag verarbeiten. Dies betrifft insbesondere folgende Empfängerkategorien:

• Hosting- und Rechenzentrumsdienstleister,
• Anbieter und Betreiber der E-Mail-Infrastruktur,
• IT-Administration, Wartung, Support und Sicherheitsdienstleistungen,
• Dienstleister für Datensicherung, Fehleranalyse und Systemwiederherstellung.

Mit Auftragsverarbeitern werden – soweit gesetzlich erforderlich – Verträge nach Art. 28 DSGVO geschlossen. Die Dienstleister verarbeiten die Daten nur auf dokumentierte Weisung und sind zur Vertraulichkeit sowie zur Umsetzung angemessener technischer und organisatorischer Maßnahmen verpflichtet.

15.3 Eigenständig Verantwortliche

In Einzelfällen können Daten an Stellen übermittelt werden, die die weitere Verarbeitung in eigener datenschutzrechtlicher Verantwortung durchführen. Hierzu können insbesondere Telekommunikationsanbieter, Zertifizierungsstellen, Rechts- und Steuerberater sowie sonstige beruflich zur Verschwiegenheit verpflichtete Berater gehören, sofern ihre Einbindung für den konkreten Vorgang erforderlich ist.

15.4 Behörden, Gerichte und sonstige öffentliche Stellen

Eine Offenlegung gegenüber Behörden, Gerichten oder sonstigen öffentlichen Stellen erfolgt nur, wenn eine gesetzliche Verpflichtung besteht, eine rechtmäßige Anordnung vorliegt oder die Übermittlung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Gesetzliche Verschwiegenheits-, Prüfungs- und Auskunftspflichten bleiben unberührt.

15.5 Rechtsgrundlagen der Offenlegung

Die Offenlegung richtet sich nach der Rechtsgrundlage der jeweiligen Verarbeitung. Sie kann insbesondere auf Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vorvertraglicher Maßnahmen oder eines Vertrags, auf Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung einer rechtlichen Verpflichtung oder auf Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen beruhen. Berechtigte Interessen können insbesondere im sicheren und wirtschaftlichen Betrieb der Webseite und Kommunikationssysteme sowie in der Durchsetzung oder Abwehr von Ansprüchen liegen.

15.6 Auswahl, Vertraulichkeit und Datenminimierung

Empfänger und Dienstleister werden nach fachlicher Eignung, Zuverlässigkeit und datenschutzrechtlichen Anforderungen ausgewählt. Übermittelt werden nur die Daten, die für den jeweiligen Zweck erforderlich sind. Vertragliche, organisatorische und technische Maßnahmen sollen sicherstellen, dass Zugriffe auf berechtigte Personen beschränkt und die Daten angemessen geschützt werden.

15.7 Übermittlungen in Drittländer

Soweit ein Empfänger personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet oder von dort auf die Daten zugreift, gelten zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO. Nähere Angaben enthält das Kapitel „Datenübermittlungen in Drittländer“.

15.8 Speicherdauer bei Empfängern

Auftragsverarbeiter speichern Daten nur nach Weisung und entsprechend den festgelegten Löschvorgaben. Eigenständig Verantwortliche bestimmen die Speicherdauer nach den für sie geltenden Zwecken und gesetzlichen Pflichten. Soweit rechtlich und tatsächlich möglich, wird die Löschung oder Rückgabe der übermittelten Daten nach Wegfall des Verarbeitungszwecks veranlasst.

15.9 Auskunft über konkrete Empfänger

Sie können im Rahmen Ihres Auskunftsrechts Informationen über Empfänger oder Empfängerkategorien verlangen. Soweit dies nach Art. 15 DSGVO geboten und möglich ist, werden die konkreten Empfänger mitgeteilt. Gesetzliche Rechte und Freiheiten anderer Personen sowie schutzwürdige Geheimhaltungsinteressen bleiben zu berücksichtigen.

16. Auftragsverarbeiter

Für bestimmte technische und organisatorische Aufgaben setzen die gemeinsam Verantwortlichen externe Dienstleister als Auftragsverarbeiter ein. Diese verarbeiten personenbezogene Daten nicht für eigene Zwecke, sondern ausschließlich im Auftrag, auf dokumentierte Weisung und innerhalb des vertraglich festgelegten Umfangs.

16.1 Einsatzbereiche

Auftragsverarbeitung kann insbesondere in folgenden Bereichen stattfinden:

• Webhosting, Rechenzentrumsbetrieb und Datensicherung,
• Bereitstellung und technischer Betrieb des E-Mail-Systems,
• Administration, Wartung, Support und Fehlerbehebung,
• IT-Sicherheit, Protokollauswertung und Wiederherstellung von Systemen.

Die konkret eingesetzten Dienstleister und ihre Tätigkeiten ergeben sich ergänzend aus den jeweiligen Fachkapiteln, insbesondere zu Webhosting, E-Mail-Kommunikation und technischen Protokolldaten.

16.2 Auswahl und Beauftragung

Auftragsverarbeiter werden unter Berücksichtigung ihrer fachlichen Eignung, Zuverlässigkeit, Sicherheitsmaßnahmen und datenschutzrechtlichen Garantien ausgewählt. Vor Beginn der Verarbeitung wird – soweit Art. 28 DSGVO anwendbar ist – ein Vertrag zur Auftragsverarbeitung geschlossen. Die gemeinsam Verantwortlichen bleiben für die Rechtmäßigkeit der Beauftragung und die Festlegung der Verarbeitungszwecke verantwortlich.

16.3 Inhalt der Auftragsverarbeitungsverträge

Die vertraglichen Regelungen bestimmen insbesondere

• Gegenstand, Dauer, Art und Zweck der Verarbeitung,
• Art der personenbezogenen Daten und Kategorien betroffener Personen,
• Weisungsrechte sowie Rechte und Pflichten der gemeinsam Verantwortlichen,
• Vertraulichkeit, technische und organisatorische Maßnahmen und Unterstützungspflichten,
• Vorgaben zu Unterauftragsverarbeitern, Kontrollrechten sowie Löschung oder Rückgabe der Daten.

16.4 Weisungsgebundene Verarbeitung und Vertraulichkeit

Auftragsverarbeiter dürfen personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung verarbeiten. Hält ein Dienstleister eine Weisung für datenschutzrechtswidrig, hat er die Verantwortlichen hierüber zu informieren. Personen, die beim Auftragsverarbeiter Zugriff auf personenbezogene Daten erhalten, müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

16.5 Technische und organisatorische Maßnahmen

Die Dienstleister müssen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten umsetzen. Diese betreffen je nach Risiko insbesondere Zugriffskontrolle, Berechtigungsmanagement, Verschlüsselung, Datensicherung, Protokollierung, Wiederherstellbarkeit und Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen.

16.6 Unterstützung und Meldung von Vorfällen

Auftragsverarbeiter unterstützen die gemeinsam Verantwortlichen im vertraglich festgelegten Umfang bei der Bearbeitung von Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Sicherheitsprüfungen und der Erfüllung gesetzlicher Nachweis- und Meldepflichten. Verletzungen des Schutzes personenbezogener Daten sind den Verantwortlichen unverzüglich zu melden, damit erforderliche Maßnahmen geprüft und eingeleitet werden können.

16.7 Unterauftragsverarbeiter

Unterauftragsverarbeiter dürfen nur im Rahmen der vertraglich vereinbarten allgemeinen oder besonderen Genehmigung eingesetzt werden. Der Auftragsverarbeiter muss ihnen im erforderlichen Umfang dieselben Datenschutzpflichten auferlegen, die auch für ihn gelten, und bleibt gegenüber den gemeinsam Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich. Über beabsichtigte Änderungen bei allgemein genehmigten Unterauftragsverarbeitern werden die gemeinsam Verantwortlichen entsprechend den vertraglichen Regelungen informiert, sodass bestehende Einwandsrechte ausgeübt werden können. Für das Webhosting setzt der unmittelbar beauftragte technische Dienstleister STRATO als Unterauftragsverarbeiter ein; ein unmittelbarer Auftragsverarbeitungsvertrag zwischen den gemeinsam Verantwortlichen und STRATO besteht nicht.

16.8 Kontrollen und Nachweise

Die Einhaltung der vereinbarten Datenschutzanforderungen wird risikoorientiert überprüft. Hierzu können geeignete Zertifikate, Prüfberichte, Sicherheitsdokumentationen und sonstige Nachweise herangezogen sowie bei Bedarf ergänzende Auskünfte oder Kontrollen verlangt werden. Festgestellte Mängel werden bewertet und müssen innerhalb angemessener Fristen behoben werden.

16.9 Löschung und Rückgabe

Nach Abschluss der jeweiligen Leistungen müssen Auftragsverarbeiter personenbezogene Daten nach Wahl und Weisung der Verantwortlichen löschen oder zurückgeben, soweit keine gesetzliche Aufbewahrungspflicht des Dienstleisters entgegensteht. Bestehende Sicherungskopien werden nach den vereinbarten Lösch- und Überschreibzyklen entfernt oder bis dahin für andere Verarbeitungen gesperrt.

16.10 Verarbeitung in Drittländern

Werden Auftrags- oder Unterauftragsverarbeiter außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums eingesetzt oder erfolgt von dort ein Zugriff, müssen zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden. Nähere Angaben enthält das Kapitel „Datenübermittlungen in Drittländer“.

17. Datenübermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) findet im Rahmen des derzeitigen Betriebs der Webseite nicht statt. Die eingesetzten Kernleistungen für Hosting, Webseiten-Betrieb und E-Mail-Kommunikation sind auf eine Verarbeitung innerhalb der EU beziehungsweise des EWR ausgerichtet.

17.1 Begriff und erfasste Vorgänge

Eine Drittlandübermittlung kann nicht nur durch die aktive Übermittlung von Daten entstehen. Erfasst sein können auch die Speicherung auf Systemen in einem Drittland oder ein technisch möglicher Zugriff aus einem Drittland, beispielsweise im Rahmen von Administration, Support oder Unterauftragsverarbeitung. Solche Zugriffsmöglichkeiten werden deshalb bei der Auswahl und Kontrolle von Dienstleistern berücksichtigt.

17.2 Derzeitiger Verarbeitungsstand

Nach der derzeit vorgesehenen technischen Konfiguration werden keine Analyse-, Werbe-, Social-Media- oder sonstigen externen Dienste eingesetzt, die eine regelmäßige Übermittlung von Besucherdaten in Drittländer erfordern. Sollte sich dies durch eine Änderung der eingesetzten Systeme, Dienstleister oder Unterauftragsverarbeiter ändern, wird die Zulässigkeit vorab geprüft und dieser Datenschutzhinweis aktualisiert.

17.3 Angemessenheitsbeschluss

Besteht für ein Drittland oder einen bestimmten Empfängerkreis ein wirksamer Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO, kann eine Übermittlung auf dieser Grundlage erfolgen. Dabei wird geprüft, ob der konkrete Empfänger und die vorgesehene Verarbeitung vom Geltungsbereich des Beschlusses erfasst sind.

17.4 Geeignete Garantien

Liegt kein Angemessenheitsbeschluss vor, kommt eine Übermittlung nur in Betracht, wenn geeignete Garantien nach Art. 46 DSGVO bestehen und den betroffenen Personen durchsetzbare Rechte sowie wirksame Rechtsbehelfe zur Verfügung stehen. Als Garantie können insbesondere die von der Europäischen Kommission erlassenen Standardvertragsklauseln eingesetzt werden.

17.5 Prüfung des Schutzniveaus und ergänzende Maßnahmen

Vor einer Übermittlung auf Grundlage geeigneter Garantien wird soweit erforderlich geprüft, ob die Rechtslage und Praxis im Empfängerland die Wirksamkeit dieser Garantien beeinträchtigen können. Abhängig vom Ergebnis werden zusätzliche vertragliche, technische oder organisatorische Maßnahmen vorgesehen, beispielsweise Verschlüsselung, Pseudonymisierung, Zugriffsbeschränkungen oder besondere Transparenz- und Kontrollpflichten. Kann ein im Wesentlichen gleichwertiges Schutzniveau nicht gewährleistet werden, unterbleibt die Übermittlung.

17.6 Übermittlungen in die USA

Bei einer künftigen Übermittlung an Empfänger in den USA kann – sofern die Voraussetzungen erfüllt sind – ein geltender Angemessenheitsbeschluss für zertifizierte Organisationen herangezogen werden. Vor der Übermittlung wird geprüft, ob eine gültige Zertifizierung des konkreten Empfängers besteht und die betreffende Datenverarbeitung davon erfasst ist. Anderenfalls sind geeignete Garantien und erforderlichenfalls ergänzende Maßnahmen notwendig.

17.7 Ausnahmen für bestimmte Fälle

Die Ausnahmen des Art. 49 DSGVO werden nicht als Grundlage für regelmäßige oder strukturelle Drittlandübermittlungen genutzt. Sie kommen nur in besonderen Einzelfällen in Betracht, wenn die gesetzlichen Voraussetzungen erfüllt sind, etwa bei einer ausdrücklich erteilten Einwilligung nach vorheriger Information über mögliche Risiken oder wenn die Übermittlung für eine auf Ihre Veranlassung erfolgende Vertragsmaßnahme erforderlich ist.

17.8 Information und Aktualisierung

Künftige Drittlandübermittlungen werden mit Verarbeitungsvorgang, Empfänger, Zielland und Übermittlungsinstrument in diesen Datenschutzhinweisen ausgewiesen. Informationen zu geeigneten Garantien können über die angegebenen Datenschutzkontakte angefordert werden.

18. Zwecke der Verarbeitung personenbezogener Daten

Personenbezogene Daten werden nur für festgelegte, eindeutige und rechtmäßige Zwecke verarbeitet. Die nachfolgende Übersicht fasst die wesentlichen Verarbeitungszwecke zusammen; maßgeblich bleiben die detaillierten Angaben in den jeweiligen Fachkapiteln dieser Datenschutzhinweise.

18.1 Bereitstellung und Betrieb der Webseite

Technische Verbindungs-, Nutzungs- und Protokolldaten werden verarbeitet, um die Webseite auszuliefern, angeforderte Inhalte bereitzustellen, die Funktionsfähigkeit des Content-Management-Systems zu gewährleisten und einen stabilen technischen Betrieb zu ermöglichen.

18.2 IT- und Kommunikationssicherheit

Daten werden verarbeitet, um unberechtigte Zugriffe, Schadsoftware, Spam, Manipulationen und sonstigen Missbrauch zu erkennen und abzuwehren. Hierzu gehören insbesondere Zugriffskontrolle, Authentifizierung, Transportverschlüsselung, technische Protokollierung, Fehleranalyse, Datensicherung und Wiederherstellung.

18.3 Bearbeitung von Kontaktanfragen

Die über das Kontaktformular oder per E-Mail mitgeteilten Daten werden verarbeitet, um Anfragen entgegenzunehmen, zuzuordnen, zu beantworten und intern an die zuständigen Ansprechpartner weiterzuleiten. Hierzu gehört auch die nachvollziehbare Dokumentation der Kommunikation und der veranlassten Maßnahmen.

18.4 Vertragsanbahnung und Vertragsdurchführung

Soweit eine Anfrage auf den Abschluss eines Vertrags gerichtet ist oder ein bestehendes Vertragsverhältnis betrifft, erfolgt die Verarbeitung zur Durchführung vorvertraglicher Maßnahmen, zur Erfüllung vertraglicher Pflichten und zur Verwaltung der damit verbundenen Kommunikation.

18.5 Erfüllung rechtlicher Pflichten

Personenbezogene Daten können verarbeitet werden, soweit dies zur Erfüllung gesetzlicher Aufbewahrungs-, Dokumentations-, Auskunfts-, Sicherheits- oder Meldepflichten erforderlich ist. Dies umfasst auch die Zusammenarbeit mit zuständigen Behörden und Gerichten im gesetzlich vorgesehenen Umfang.

18.6 Geltendmachung und Abwehr von Ansprüchen

Daten können aufbewahrt und ausgewertet werden, soweit dies zur Feststellung, Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Die Verarbeitung wird in diesen Fällen auf die hierfür benötigten Daten und den erforderlichen Zeitraum beschränkt.

18.7 Interne Organisation und gemeinsame Verantwortlichkeit

Die gemeinsam Verantwortlichen verarbeiten personenbezogene Daten zur sachgerechten Aufgabenverteilung, Zuständigkeitsklärung, Bearbeitung von Betroffenenanfragen und Erfüllung ihrer datenschutzrechtlichen Rechenschaftspflichten. Die interne Zuordnung richtet sich nach der Vereinbarung gemäß Art. 26 DSGVO.

18.8 Keine werbliche Nutzung oder Profilbildung

Personenbezogene Daten von Webseiten-Besuchern werden nicht für personalisierte Werbung, Reichweitenmessung, Nutzerprofilbildung oder automatisierte Entscheidungen im Sinne des Art. 22 DSGVO verarbeitet. Eine Nutzung für solche Zwecke würde eine gesonderte rechtliche und technische Prüfung sowie eine Aktualisierung dieser Datenschutzhinweise voraussetzen.

18.9 Zweckänderungen

Eine Weiterverarbeitung für einen anderen Zweck erfolgt nur, wenn sie mit dem ursprünglichen Zweck vereinbar ist oder eine eigenständige Rechtsgrundlage besteht. Vor einer relevanten Zweckänderung werden insbesondere Zusammenhang, Art der Daten, mögliche Folgen und vorhandene Schutzmaßnahmen geprüft. Soweit erforderlich, werden die betroffenen Personen vorab informiert oder um eine Einwilligung gebeten.

18.10 Zuordnung der Rechtsgrundlagen

Die Rechtsgrundlage richtet sich nach dem jeweiligen Verarbeitungsvorgang und kann insbesondere Art. 6 Abs. 1 lit. b, c oder f DSGVO sein. Soweit ausnahmsweise eine Verarbeitung auf einer Einwilligung beruht, gilt Art. 6 Abs. 1 lit. a DSGVO. Die konkrete Zuordnung ist in den jeweiligen Fachkapiteln und im Kapitel „Rechtsgrundlagen der Verarbeitung“ beschrieben.

19. Speicherdauer und Löschung personenbezogener Daten

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist. Anschließend werden sie gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten, überwiegenden schutzwürdigen Gründe oder sonstigen rechtlichen Erfordernisse entgegenstehen.

19.1 Kriterien für die Speicherdauer

Die konkrete Speicherdauer richtet sich insbesondere nach

• dem Zweck und der Erforderlichkeit der jeweiligen Verarbeitung,
• Art, Umfang und Sensibilität der verarbeiteten Daten,
• gesetzlichen Aufbewahrungs-, Dokumentations- und Nachweispflichten,
• vertraglichen Beziehungen und der Dauer ihrer Abwicklung,
• möglichen Verjährungsfristen und der Erforderlichkeit zur Rechtsverteidigung,
• bestehenden Sicherheits-, Störungs- oder Missbrauchsvorfällen.

19.2 Technische Webseiten- und Protokolldaten

Server-, Fehler- und technische Sicherheitsprotokolle werden nach den in den jeweiligen Fachkapiteln beschriebenen Fristen beziehungsweise Lösch- und Rotationszyklen gelöscht oder überschrieben. Bei einem konkreten technischen oder sicherheitsrelevanten Vorfall können erforderliche Protokolldaten bis zum Abschluss der Untersuchung und der daraus folgenden Maßnahmen gesondert aufbewahrt werden.

19.3 Cookies und Authentifizierungsdaten

Sitzungscookies werden grundsätzlich beim Schließen des Browsers gelöscht. Authentifizierungs- und Einstellungscookies laufen nach der jeweils vorgesehenen Gültigkeitsdauer ab oder werden bei Abmeldung, Löschung durch den Nutzer oder Änderung der Systemkonfiguration ungültig. Einzelheiten enthält das Kapitel „Technisch notwendige Cookies“.

19.4 Kontakt- und Kommunikationsdaten

Daten aus Kontaktformularen und E-Mail-Kommunikation werden gelöscht, sobald die Anfrage oder Kommunikation abschließend bearbeitet ist und keine weitere Speicherung erforderlich ist. Werden die Angaben Bestandteil eines Vertrags-, Geschäfts- oder Nachweisvorgangs, gelten die hierfür maßgeblichen Aufbewahrungs- und Verjährungsfristen.

19.5 Gesetzliche Aufbewahrungspflichten

Soweit Unterlagen handels-, steuer-, arbeits- oder sonstigen gesetzlichen Aufbewahrungspflichten unterliegen, werden die darin enthaltenen personenbezogenen Daten für die Dauer der jeweils geltenden Frist gespeichert. Während dieser Zeit wird die Verarbeitung auf die gesetzlich zulässigen Zwecke beschränkt. Nach Ablauf der Frist werden die Daten gelöscht, sofern kein weiterer Rechtsgrund besteht.

19.6 Geltendmachung und Abwehr von Rechtsansprüchen

Daten können über die eigentliche Bearbeitung hinaus aufbewahrt werden, wenn dies zur Feststellung, Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Die Speicherdauer orientiert sich in diesen Fällen an den einschlägigen Verjährungs- und Verfahrensfristen sowie am Verlauf des konkreten Vorgangs.

19.7 Löschung, Anonymisierung und Einschränkung

Entfällt der Verarbeitungszweck und besteht keine weitere Rechtsgrundlage, werden personenbezogene Daten gelöscht oder so anonymisiert, dass eine Zuordnung zu einer Person nicht mehr möglich ist. Ist eine sofortige Löschung wegen gesetzlicher Pflichten, Beweissicherungsinteressen oder technischer Gründe vorübergehend nicht möglich, wird die Verarbeitung soweit möglich eingeschränkt und der Zugriff auf berechtigte Personen begrenzt.

19.8 Sicherungskopien und technische Löschzyklen

Gelöschte Daten können vorübergehend noch in technisch erforderlichen Sicherungskopien enthalten sein. Diese Kopien werden nach den festgelegten Sicherungs- und Überschreibzyklen automatisiert überschrieben und bis dahin nicht für den regulären Geschäftsbetrieb wiederhergestellt oder anderweitig verarbeitet, sofern nicht ein Sicherheits- oder Wiederherstellungsfall dies erfordert.

19.9 Löschung bei Auftragsverarbeitern

Auftragsverarbeiter müssen personenbezogene Daten nach den vereinbarten Weisungen und Löschkonzepten löschen oder zurückgeben. Gesetzlich zulässige Sicherungskopien und eigene Aufbewahrungspflichten des Dienstleisters bleiben unberührt; die betroffenen Daten dürfen währenddessen nicht für andere Zwecke genutzt werden.

19.10 Regelmäßige Überprüfung und Löschverlangen

Die Erforderlichkeit der Speicherung und die festgelegten Löschfristen werden regelmäßig sowie bei Änderungen der Verarbeitung überprüft. Betroffene Personen können unter den Voraussetzungen des Art. 17 DSGVO die Löschung ihrer Daten verlangen. Soweit eine Löschung nicht möglich ist, werden die Gründe und gegebenenfalls die weitere Einschränkung der Verarbeitung mitgeteilt.

20. Kategorien betroffener Personen und Daten

Dieses Kapitel gibt einen zusammenfassenden Überblick darüber, welche Personengruppen von den in diesen Datenschutzhinweisen beschriebenen Verarbeitungen betroffen sein können und welche Datenkategorien dabei anfallen. Umfang und Zusammensetzung der Daten richten sich nach dem jeweiligen Nutzungsvorgang; Einzelheiten zu Zwecken, Rechtsgrundlagen, Empfängern und Speicherdauer enthalten die jeweiligen Fachkapitel.

20.1 Kategorien betroffener Personen

Betroffen sein können insbesondere

• Besucher der Webseite,
• Personen, die über das Kontaktformular oder per E-Mail kommunizieren,
• Interessenten, Kunden, Lieferanten und sonstige Geschäftspartner sowie deren Beschäftigte und Ansprechpartner,
• berechtigte Personen, die das Content-Management-System administrieren oder redaktionell nutzen,
• Personen, deren Angaben im Rahmen einer Anfrage, Kommunikation oder technischen Protokollierung verarbeitet werden.

20.2 Technische Verbindungs- und Nutzungsdaten

Beim Aufruf und Betrieb der Webseite können insbesondere IP-Adresse, Datum und Uhrzeit eines Zugriffs, aufgerufene Adresse oder Ressource, Referrer-Informationen, Browser- und Betriebssystemangaben, Geräte- und Hostinformationen, übertragene Datenmenge, Antwortstatus sowie technische Fehler- und Ereignisangaben anfallen.

20.3 Stamm-, Kontakt- und Kommunikationsdaten

Bei einer Kontaktaufnahme oder geschäftlichen Kommunikation können insbesondere Name, E-Mail-Adresse, Unternehmen, Funktion, Telefonnummer, Betreff, Inhalt der Nachricht, Anhänge, Versand- und Empfangszeitpunkte sowie weitere freiwillig mitgeteilte Angaben verarbeitet werden.

20.4 Vertrags- und Geschäftsbeziehungsdaten

Soweit eine Anfrage einen bestehenden oder angebahnten Geschäftsbezug betrifft, können zusätzlich Angaben zum betreffenden Auftrag, Projekt oder Vorgang, interne Zuordnungsmerkmale, Korrespondenz, Dokumentations- und Nachweisdaten sowie Informationen zur Bearbeitung des Anliegens verarbeitet werden.

20.5 Benutzer-, Berechtigungs- und Authentifizierungsdaten

Bei administrativen oder redaktionellen Zugängen können insbesondere Benutzername, interne Kennung, E-Mail-Adresse, Rollen und Berechtigungen, Anmelde- und Authentifizierungsereignisse, sicherheitsbezogene Statusangaben sowie nutzerbezogene Einstellungen verarbeitet werden.

20.6 Protokoll- und Sicherheitsdaten

Access-, Error- und Mail-Logs können neben technischen Verbindungsdaten insbesondere Zeitstempel, Nachrichten- oder Vorgangskennungen, Zustell- und Fehlerstatus, Authentifizierungsereignisse sowie Angaben zur verwendeten Transportverschlüsselung enthalten. Die Protokolle dienen ausschließlich den in den jeweiligen Fachkapiteln beschriebenen Betriebs-, Fehleranalyse- und Sicherheitszwecken.

20.7 Cookie- und Sitzungsdaten

Technisch notwendige Cookies können Sitzungs-, Authentifizierungs-, Sicherheits-, Sprach- oder Einstellungskennungen enthalten. Sie ermöglichen erforderliche Funktionen der Webseite; Cookies zu Analyse-, Werbe- oder Profilbildungszwecken werden nach dem in diesen Hinweisen beschriebenen Stand nicht eingesetzt.

20.8 Besondere Kategorien personenbezogener Daten

Die Webseite und ihre Kontaktwege sind nicht darauf ausgerichtet, besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO zu erheben. Solche Angaben sollten nicht übermittelt werden, sofern sie für das konkrete Anliegen nicht erforderlich sind. Werden sie ausnahmsweise freiwillig mitgeteilt, erfolgt eine Verarbeitung nur, soweit hierfür eine Rechtsgrundlage besteht und angemessene Schutzmaßnahmen vorgesehen sind.

20.9 Herkunft der Daten

Personenbezogene Daten stammen regelmäßig unmittelbar von der betroffenen Person, aus den von ihr verwendeten Endgeräten und Browsern oder aus technischen Systemen, die den Webseiten- und Kommunikationsbetrieb ermöglichen. Im Rahmen geschäftlicher Kontakte können Angaben zudem durch vertretungsberechtigte oder zuständige Personen eines Unternehmens übermittelt werden. Auftragsverarbeiter erzeugen technische Protokolldaten im Rahmen der vereinbarten Leistungserbringung.

20.10 Datenminimierung und keine Anreicherung

Es werden nur Daten verarbeitet, die für den jeweiligen Zweck erforderlich sind oder freiwillig bereitgestellt werden. Eine Anreicherung der Webseiten-Daten aus Adresshandel, Datenbroker-Beständen oder vergleichbaren externen Quellen sowie eine Profilbildung zu Werbe- oder Analysezwecken findet nach dem in diesen Hinweisen beschriebenen Stand nicht statt.

21. Rechte der betroffenen Personen

Betroffene Personen können die ihnen nach der Datenschutz-Grundverordnung zustehenden Rechte geltend machen. Die Rechte gelten unter den jeweiligen gesetzlichen Voraussetzungen und können im Einzelfall durch gesetzliche Ausnahmen oder überwiegende Rechte und Freiheiten anderer Personen begrenzt sein.

21.1 Recht auf Auskunft

Nach Art. 15 DSGVO besteht das Recht, eine Bestätigung darüber zu verlangen, ob personenbezogene Daten verarbeitet werden. Ist dies der Fall, kann Auskunft über diese Daten und die gesetzlich vorgesehenen Informationen verlangt werden, insbesondere über Verarbeitungszwecke, Datenkategorien, Empfänger, geplante Speicherdauer beziehungsweise deren Kriterien und die Herkunft der Daten. Im gesetzlichen Umfang wird eine Kopie der verarbeiteten personenbezogenen Daten bereitgestellt.

21.2 Recht auf Berichtigung

Nach Art. 16 DSGVO kann die unverzügliche Berichtigung unrichtiger personenbezogener Daten verlangt werden. Unter Berücksichtigung der Verarbeitungszwecke besteht außerdem das Recht, unvollständige Daten vervollständigen zu lassen, auch durch eine ergänzende Erklärung.

21.3 Recht auf Löschung

Nach Art. 17 DSGVO kann unter den gesetzlichen Voraussetzungen die unverzügliche Löschung personenbezogener Daten verlangt werden, etwa wenn sie für die Zwecke ihrer Erhebung nicht mehr notwendig sind, eine maßgebliche Einwilligung widerrufen wurde und keine andere Rechtsgrundlage besteht oder einer Verarbeitung wirksam widersprochen wurde. Das Recht besteht insbesondere nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

21.4 Recht auf Einschränkung der Verarbeitung

Nach Art. 18 DSGVO kann die Einschränkung der Verarbeitung verlangt werden, insbesondere während der Prüfung bestrittener Datenrichtigkeit oder eines Widerspruchs, bei unrechtmäßiger Verarbeitung anstelle der Löschung oder wenn die Daten für Rechtsansprüche benötigt werden, obwohl sie für die ursprünglichen Zwecke nicht mehr erforderlich sind. Vor Aufhebung einer Einschränkung wird die betroffene Person nach Maßgabe des Gesetzes informiert.

21.5 Recht auf Datenübertragbarkeit

Nach Art. 20 DSGVO besteht das Recht, selbst bereitgestellte personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder – soweit technisch machbar – direkt an einen anderen Verantwortlichen übermitteln zu lassen. Dies gilt, wenn die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und mithilfe automatisierter Verfahren erfolgt. Rechte und Freiheiten anderer Personen dürfen dadurch nicht beeinträchtigt werden.

21.6 Widerspruchsrecht

Betroffene Personen können nach Art. 21 DSGVO aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit einer Verarbeitung widersprechen, die auf Art. 6 Abs. 1 Buchst. e oder f DSGVO beruht. Die betreffenden Daten werden danach nicht mehr verarbeitet, es sei denn, es bestehen zwingende schutzwürdige Gründe, welche die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden personenbezogene Daten für Direktwerbung verarbeitet, kann dieser Verarbeitung einschließlich eines damit zusammenhängenden Profilings jederzeit widersprochen werden. Nach einem solchen Widerspruch werden die Daten nicht mehr für Direktwerbung verarbeitet. Nach dem in diesen Hinweisen beschriebenen Stand findet über die Webseite keine Verarbeitung zu Direktwerbezwecken statt.

21.7 Widerruf einer Einwilligung

Eine erteilte Einwilligung kann nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist ebenso einfach möglich wie die Erteilung der Einwilligung.

21.8 Automatisierte Entscheidungen im Einzelfall

Nach Art. 22 DSGVO besteht grundsätzlich das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder in ähnlicher Weise erheblich beeinträchtigt. Eine solche automatisierte Entscheidungsfindung findet im Zusammenhang mit der Webseite nach dem in diesen Hinweisen beschriebenen Stand nicht statt.

21.9 Ausübung der Rechte und Bearbeitungsfrist

Anträge können über die in diesen Datenschutzhinweisen genannten Kontaktdaten an einen der gemeinsam Verantwortlichen gerichtet werden. Sie werden grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang, beantwortet. Bei hoher Komplexität oder einer großen Zahl von Anträgen kann die Frist nach Maßgabe des Art. 12 Abs. 3 DSGVO um bis zu zwei weitere Monate verlängert werden; über die Verlängerung und ihre Gründe wird innerhalb eines Monats informiert.

Die Bearbeitung ist grundsätzlich unentgeltlich. Bei offenkundig unbegründeten oder exzessiven Anträgen können nach Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangt oder die Bearbeitung abgelehnt werden. Bestehen begründete Zweifel an der Identität, dürfen zusätzliche Informationen angefordert werden, die zur Bestätigung der Identität erforderlich sind. Dabei werden nur die hierfür notwendigen Angaben erhoben.

22. Beschwerderecht

Betroffene Personen haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn sie der Ansicht sind, dass die Verarbeitung der sie betreffenden personenbezogenen Daten gegen die Datenschutz-Grundverordnung oder andere anwendbare Datenschutzvorschriften verstößt. Das Beschwerderecht besteht unbeschadet anderer verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

22.1 Wahl der Aufsichtsbehörde

Eine Beschwerde kann insbesondere bei einer Aufsichtsbehörde in dem Mitgliedstaat des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Datenschutzverstoßes eingereicht werden. Welche Aufsichtsbehörde im konkreten Fall federführend oder zuständig ist, richtet sich nach den gesetzlichen Zuständigkeitsregeln und wird erforderlichenfalls zwischen den beteiligten Behörden geklärt.

So können Sie sich z.B. bei der für die Buck GmbH / Steven+Gröters GmbH zuständigen Aufsichtsbehörde beschweren:

Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf

Tel.: 0211/38424-0
Fax: 0211/38424-10
E-Mail: poststelle@ldi.nrw.de

22.2 Inhalt einer Beschwerde

Für eine sachgerechte Prüfung ist es hilfreich, den beanstandeten Vorgang, den zeitlichen Ablauf, die betroffenen Daten und die bereits erfolgte Kommunikation möglichst konkret zu beschreiben. Soweit vorhanden, können aussagekräftige Unterlagen oder Korrespondenz beigefügt werden. Die Aufsichtsbehörde entscheidet nach ihren Verfahrensregeln, welche Angaben und Nachweise erforderlich sind.

22.3 Information über Stand und Ergebnis

Die Aufsichtsbehörde, bei der die Beschwerde eingereicht wurde, informiert die beschwerdeführende Person nach Art. 77 Abs. 2 DSGVO über den Stand und das Ergebnis der Beschwerde. Hierzu gehört auch ein Hinweis auf die Möglichkeit eines gerichtlichen Rechtsbehelfs nach Art. 78 DSGVO.

22.4 Datenschutzanfrage vor einer Beschwerde

Betroffene Personen können sich vor oder unabhängig von einer Beschwerde über die in diesen Datenschutzhinweisen genannten Kontaktdaten an einen der gemeinsam Verantwortlichen, die gemeinsame Anlaufstelle oder den für den jeweiligen Verantwortlichen gesondert benannten Datenschutzbeauftragten wenden. Eine vorherige Kontaktaufnahme ist keine Voraussetzung für die Ausübung des Beschwerderechts.

Stand: 10.08.2026