Datenschutz­erklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte können Sie sich über diese Kontaktdaten an uns wenden.

2. Website und Hosting

Bereitstellung und technische Protokolle

Beim Aufrufen der Website verarbeitet der Hostinganbieter technische Daten, insbesondere Ihre IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Adresse, HTTP-Methode und Statuscode, Browserinformationen sowie Verbindungs- und Übertragungsdaten. Diese Daten werden benötigt, um die Website auszuliefern, Fehler zu untersuchen und Angriffe oder missbräuchliche Zugriffe zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, zuverlässigen Betrieb dieser Website. Die für die Übertragung notwendigen Verbindungsdaten fallen beim Websitebesuch technisch bedingt an.

Railway

Website, Kontaktdatenbank und unsere interne Buchhaltungsanwendung werden bei Railway Corporation, 548 Market St PMB 68956, San Francisco, California 94104, USA, betrieben. Für Anwendung und Datenbank ist die europäische Region EU West eingestellt. Eine ausschließlich europäische Verarbeitung ist damit nicht zugesichert: Railway sieht auch Verarbeitungen in den USA und den Einsatz weiterer Dienstleister vor.

Mit Railway haben wir einen Vertrag zur Auftragsverarbeitung geschlossen. Dieses Data Processing Addendum (DPA) bezieht EU-Standardvertragsklauseln für relevante Drittlandübermittlungen ein. Soweit ein Empfänger entsprechend zertifiziert ist, sieht es alternativ das EU-US Data Privacy Framework vor. Kopien der maßgeblichen Garantien können Sie über die oben genannten Kontaktdaten anfordern. Weitere Angaben enthalten die Datenschutzhinweise von Railway und die Informationen zu Unterauftragsverarbeitern.

Für technische Protokolle richtet sich die Speicherdauer nach dem jeweiligen Betriebs- und Sicherheitszweck sowie den Aufbewahrungsregeln des Hostinganbieters. Bei einem konkreten Fehler- oder Sicherheitsvorfall kann eine längere Aufbewahrung erforderlich sein, bis der Vorfall aufgeklärt ist. Daten für gesetzliche Pflichten oder Rechtsansprüche werden nur so lange aufbewahrt, wie es dafür erforderlich ist. Weitere Kriterien erläutern wir unter Speicherdauer und Empfänger.

Verschlüsselte Übertragung

Die Website ist über HTTPS erreichbar. Damit werden die Daten bei der Übertragung zwischen Ihrem Browser und der Website verschlüsselt, auch beim Absenden des Kontaktformulars.

3. Kontaktanfragen

Kontaktformular

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den gewählten Projektbereich und Ihre Nachricht. Den Unternehmensnamen können Sie freiwillig ergänzen. Zusätzlich speichern wir den Zeitpunkt, eine Anfragenummer sowie technische Kennungen und den Benachrichtigungsstatus, um doppelte Einsendungen zu erkennen und die interne Zustellung sicherzustellen. Das Formular übermittelt die Angaben an unsere Website; dort werden sie in der bei Railway betriebenen Datenbank gespeichert. Für die Bearbeitung wird eine interne E-Mail-Benachrichtigung an unser geschäftliches Microsoft-365-Postfach versendet. Sie enthält die Formularangaben. Eine automatische Bestätigungs-E-Mail an Ihre Adresse wird nicht versendet.

Wir verwenden diese Angaben, um Ihre Anfrage zu beantworten, das Vorhaben einzuordnen und nächste Schritte mit Ihnen abzustimmen. Es besteht keine gesetzliche Pflicht, das Formular auszufüllen. Ohne die als erforderlich gekennzeichneten Angaben kann es nicht abgesendet werden; ohne eine erreichbare Kontaktadresse können wir Ihnen nicht antworten.

Rechtsgrundlagen

Geht es um einen Vertrag mit Ihnen oder um von Ihnen angefragte vorvertragliche Maßnahmen, erfolgt die Verarbeitung nach Art. 6 Abs. 1 lit. b DSGVO. Bei sonstigen Anfragen und bei der Kommunikation mit Ansprechpersonen eines Unternehmens stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die sachgerechte Bearbeitung geschäftlicher Anfragen und die Kommunikation mit Interessenten und Kunden.

Schutz vor automatisierten Eingaben

Ein für normale Besucher ausgeblendetes Kontrollfeld hilft, Spam zu erkennen. Wird es ausgefüllt, wird die Anfrage verworfen und nicht in der Kontaktdatenbank gespeichert. Zusätzlich prüfen wir eine zeitlich begrenzte, signierte Formularfreigabe und begrenzen die Anzahl eingehender Anfragen. Dafür werden aus der IP-Adresse und der E-Mail-Adresse mit einem geheimen Schlüssel Prüfwerte gebildet. Die IP-Adresse wird in dieser Schutz-Tabelle nicht im Klartext gespeichert. Die Prüfwerte werden nach Ablauf von 24 Stunden beim nächsten Bereinigungslauf entfernt; dieser läuft bei laufendem Server jede Minute sowie bei der Annahme neuer Anfragen. Ein externer CAPTCHA-Dienst und zusätzliche Browser-Cookies werden dafür nicht eingesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Missbrauch.

E-Mail und Microsoft 365 Business

Bei direkter Kontaktaufnahme per E-Mail verarbeiten wir Ihre Adresse, den Inhalt der Nachricht, gegebenenfalls Anhänge sowie technische Versanddaten für die oben beschriebenen Zwecke und auf denselben Rechtsgrundlagen. Für geschäftliche E-Mails nutzen wir Microsoft 365 Business. Anbieter für Geschäftskunden in Deutschland ist Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland.

Die Datenverarbeitung für Microsoft 365 richtet sich nach den Produktbedingungen und dem Microsoft Products and Services Data Protection Addendum. Microsoft verarbeitet die Daten zur Bereitstellung und Absicherung des Dienstes und für die im DPA beschriebenen eigenen Geschäftsvorgänge. Dabei können Daten auch in Drittländern, insbesondere den USA, verarbeitet werden. Das DPA enthält EU-Standardvertragsklauseln als Garantien nach Art. 46 DSGVO. Microsoft erläutert verbleibende Übermittlungen in seinen Informationen zur EU Data Boundary. Kopien der für unsere Verarbeitung maßgeblichen Garantien können Sie über die oben genannten Kontaktdaten anfordern.

Telefonische Kontaktaufnahme

Wenn Sie uns anrufen, verarbeiten wir Ihre mitgeteilten Kontaktdaten und die für Ihr Anliegen erforderlichen Gesprächsinhalte, gegebenenfalls in Form von Gesprächsnotizen. Es gelten die oben genannten Zwecke und Rechtsgrundlagen für Kontaktanfragen.

4. Kunden und Zusammenarbeit

Für Angebote, die Durchführung von Projekten und die laufende Betreuung verarbeiten wir die erforderlichen Kunden- und Kontaktdaten, insbesondere Namen, Unternehmen, Anschriften, E-Mail-Adressen und Telefonnummern. Hinzu kommen projektbezogene Kommunikation, Anforderungen, bereitgestellte Unterlagen, Leistungs- und Vertragsdaten sowie Abrechnungs- und Zahlungsdaten. Bei Ansprechpersonen eines Unternehmens erhalten wir die Angaben entweder direkt von Ihnen oder von dem Unternehmen, das Sie als Ansprechperson benennt.

Die Verarbeitung dient der Anbahnung und Erfüllung unserer Verträge, der Abstimmung und Umsetzung der vereinbarten Leistungen, dem Support und der Abrechnung. Sind Sie selbst Vertragspartner, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Bei Ansprechpersonen von Unternehmen gilt Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Organisation und Durchführung der Geschäftsbeziehung. Gesetzliche Dokumentations- und Aufbewahrungspflichten erfüllen wir auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Wir benötigen die für das jeweilige Angebot, den Auftrag oder die Abrechnung erforderlichen Angaben. Werden diese nicht bereitgestellt, können wir die betreffende Leistung gegebenenfalls nicht anbieten oder erbringen. Darüber hinausgehende Angaben sind freiwillig.

Soweit wir bei einem Kundenprojekt personenbezogene Daten im Auftrag des Kunden verarbeiten, richtet sich diese Verarbeitung nach den gesonderten vertraglichen Vereinbarungen und Weisungen. Für die Informationen gegenüber den betroffenen Personen ist in diesem Fall grundsätzlich der jeweilige Kunde als Verantwortlicher zuständig.

5. Buchhaltung und Rechnungseingang

In unserer internen Buchhaltungsanwendung verarbeiten wir Kunden- und Lieferantendaten, Rechnungen, Belege, Leistungsbeschreibungen, Beträge, Zahlungsstände und die dazugehörige Kommunikation. Die Anwendung und ihre Datenbank werden bei Railway betrieben. Die Angaben dienen der Abrechnung, Zahlungszuordnung und Erfüllung steuerrechtlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten und Art. 6 Abs. 1 lit. f DSGVO für die ordnungsgemäße Verwaltung unserer Geschäftsbeziehungen.

Rechnungs-E-Mails und Resend

Nachrichten an rechnung@canism.de werden im Microsoft-365-Postfach empfangen und für die Übernahme in unsere Buchhaltung an Resend weitergeleitet. Dabei werden die E-Mail einschließlich Absender, Empfänger, Betreff, Inhalt, Anhängen und technischen Versanddaten verarbeitet. Eine Kopie verbleibt im Microsoft-Postfach. Die Buchhaltungsanwendung übernimmt die Nachricht und unterstützte Beleganhänge über eine Schnittstelle. Die automatische Belegerkennung erfolgt in unserer bei Railway betriebenen Anwendung.

Anbieter von Resend ist Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Bei diesem Dienst erfolgt eine Übermittlung personenbezogener Daten in die USA. Die Vertragsbedingungen von Resend beziehen das Data Processing Addendum mit EU-Standardvertragsklauseln ein. Diese sehen Garantien für Drittlandübermittlungen nach Art. 46 DSGVO vor. Weitere Angaben finden Sie in der Datenschutzerklärung von Resend und der Liste der Unterauftragsverarbeiter. Kopien der maßgeblichen Garantien können Sie bei uns anfordern.

Resend gibt für E-Mail- und Protokolldaten in den Standardtarifen eine Aufbewahrung von 30 Tagen an. Die in unser Postfach und unsere Buchhaltung übernommenen Unterlagen unterliegen unabhängig davon den unten erläuterten Aufbewahrungsfristen.

6. Darstellung und Browserspeicher

Ihre Hell-/Dunkel-Einstellung

Wenn Sie über den Schalter die Darstellung auswählen, speichert Ihr Browser diese Auswahl unter „canism-theme“ im lokalen Browserspeicher (Local Storage). Gespeichert wird nur „light“ oder „dark“. Bei späteren Aufrufen wird die Auswahl wiederhergestellt. Ohne gespeicherte Auswahl gilt Ihre Systemeinstellung.

Diese Einstellung wird nicht an unseren Server übermittelt und nicht für Werbung oder zur Erstellung von Besucherprofilen genutzt. Sie bleibt gespeichert, bis Sie sie ändern oder die Website-Daten in Ihrem Browser löschen. Speicherung und Auslesen dienen der von Ihnen gewählten Darstellungsfunktion (§ 25 Abs. 2 Nr. 2 TDDDG). Soweit dabei personenbezogene Daten verarbeitet werden, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Bereitstellung Ihrer gewählten Darstellung.

Schriftarten, Bilder und externe Links

Schriftarten und Projektbilder werden zusammen mit dieser Website ausgeliefert. Ihr Browser ruft dafür weder Google Fonts noch einen externen Bilddienst auf. Links zu anderen Websites sind normale Verweise. Erst wenn Sie einem solchen Link folgen, besuchen Sie die andere Website; dort gelten die Datenschutzhinweise des Anbieters.

Keine Besucheranalyse oder Werbeprofile

Die Website verwendet keine Analyse- oder Werbetracker und keine Marketing-Cookies. Es sind keine externen Video-, Karten- oder Terminbuchungsdienste eingebettet. Es erfolgt keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO.

7. Speicherdauer und Empfänger

Anfragen und Projektunterlagen

Maßgeblich für die Aufbewahrung einer Kontaktanfrage ist, wie lange ihre Bearbeitung und die anschließende Kommunikation erforderlich sind. Für eine reine Anfrage ohne anschließenden Auftrag endet dieser Zweck, wenn das Anliegen abschließend geklärt ist und keine Rückfragen oder weitere Bearbeitung mehr erforderlich sind. Bei einem Auftrag kommen die Durchführung des Projekts, vereinbarte Betreuung und gegebenenfalls Gewährleistungsansprüche hinzu. Eine weitere Aufbewahrung ist nur zulässig, soweit gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.

Gesetzliche Aufbewahrung und Rechtsansprüche

Soweit die jeweilige gesetzliche Aufbewahrungspflicht anwendbar ist, bewahren wir Rechnungen und Buchungsbelege grundsätzlich acht Jahre, Handels- und Geschäftsbriefe sechs Jahre sowie Bücher, Inventare und Jahresabschlüsse zehn Jahre auf. Maßgeblich sind insbesondere § 147 AO, gegebenenfalls § 257 HGB und § 14b UStG. Die Frist beginnt grundsätzlich mit dem Ende des Kalenderjahres, in dem die betreffende Unterlage entstanden ist beziehungsweise das gesetzlich maßgebliche Ereignis eingetreten ist. Bei laufenden steuerlichen Verfahren können längere Fristen gelten. Nicht jede unverbindliche Kontaktanfrage ist ein aufbewahrungspflichtiger Geschäftsbrief.

Gesetzliche Aufbewahrungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO. Soweit Unterlagen für Rechtsansprüche benötigt werden, richtet sich die Dauer nach den einschlägigen Verjährungsfristen und gegebenenfalls der Dauer eines Rechtsstreits. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Wahrung unserer Rechte. Nach Wegfall des ursprünglichen Zwecks bleibt die Verarbeitung auf den jeweiligen Aufbewahrungsgrund beschränkt.

Technische Daten und Sicherungskopien

Die Prüfwerte des Formular-Spamschutzes werden nach 24 Stunden beim nächsten Bereinigungslauf gelöscht. Ihre Darstellungsauswahl bleibt bis zur Änderung oder Löschung der Website-Daten in Ihrem Browser gespeichert. Für die Hosting-Protokolle gelten die im Abschnitt zum Hosting beschriebenen Kriterien. Bei technischen Sicherungskopien ist zusätzlich der jeweilige Sicherungs- und Überschreibungszyklus zu berücksichtigen; eine Löschung aus einem produktiven System bedeutet daher nicht zwingend die sofortige Entfernung aus sämtlichen Sicherungskopien.

Nachweise zur Bearbeitung und Löschung

Zur Umsetzung und zum Nachweis unserer Datenschutzpflichten dokumentieren wir erforderliche Aufbewahrungsentscheidungen, die Bearbeitung von Datenschutzanfragen und durchgeführte Löschungen. Technische Löschquittungen enthalten eine Vorgangsreferenz, den Löschzeitpunkt und die verantwortliche Person, jedoch keine Kopie der gelöschten Nachricht. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c in Verbindung mit Art. 5 Abs. 2 und Art. 12 bis 22 DSGVO sowie, soweit zur Wahrung konkreter Rechtsansprüche erforderlich, Art. 6 Abs. 1 lit. f DSGVO. Minimale Löschquittungen bewahren wir grundsätzlich bis zu drei Jahre auf; ihre weitere Erforderlichkeit prüfen wir jährlich. Entbehrliche Nachweise werden früher gelöscht. Eine längere Aufbewahrung erfolgt nur bei einem dokumentierten Bedarf, etwa einem laufenden Verfahren oder zur Umsetzung einer Löschung nach Wiederherstellung älterer Sicherungen.

Empfänger Ihrer Daten

Zugriff erhalten die zur jeweiligen Aufgabe berechtigten Personen und die oben genannten Dienstleister Railway, Microsoft und – beim Rechnungseingang – Resend sowie deren eingesetzte Unterauftragsverarbeiter. Im erforderlichen Umfang können außerdem Zahlungsdaten an Banken und Unterlagen an steuerliche oder rechtliche Berater übermittelt werden. Behörden und Gerichte erhalten Daten, wenn eine gesetzliche Verpflichtung besteht oder dies zur Wahrung von Rechtsansprüchen erforderlich ist. Die jeweilige Rechtsgrundlage richtet sich nach dem beschriebenen Verarbeitungszweck.

Die genannten US-Dienstleister und internationale Unterauftragsverarbeiter können Daten außerhalb der EU und des Europäischen Wirtschaftsraums verarbeiten. Die vertraglichen Garantien und weiterführenden Informationen sind bei den jeweiligen Diensten verlinkt. Ein europäischer Serverstandort schließt solche Übermittlungen nicht vollständig aus.

8. Ihre Rechte

Zur Ausübung Ihrer Rechte können Sie sich über die oben genannten Kontaktdaten an uns wenden. Wir beantworten Ihr Anliegen unverzüglich und grundsätzlich innerhalb eines Monats nach Eingang. Sollte eine gesetzlich zulässige Verlängerung erforderlich sein, informieren wir Sie innerhalb dieses Monats über die Gründe.

Unter den gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO). Bei automatisierter Verarbeitung auf Grundlage einer Einwilligung oder eines Vertrags besteht außerdem das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO.

Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes (Art. 77 DSGVO). Für unseren Sitz in Nordrhein-Westfalen ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig. Ihre anderen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfe bleiben unberührt.