Daten­schutz

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die jaco/edo GmbH. Marktritter ist eine Marke der jaco/edo GmbH.

Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannten Kontaktdaten – am einfachsten per E-Mail an info@jacoedo.de.

2. Das Wichtigste in Kürze

• Wir setzen keine Tracking- oder Analyse-Tools ein, die Ihr Verhalten im Browser erfassen – keine Analyse- oder Werbe-Cookies, keine Zählpixel, keine Social-Media-Plugins.
• Schriften, Icons und Skripte der Website werden ausschließlich von unserem eigenen Server geladen. Beim Aufruf der Website entstehen keine Verbindungen zu externen Schriftarten-Diensten, CDNs, Karten- oder Videodiensten. Einzige Ausnahme: Stuft unsere Sicherheitssoftware Ihren Zugriff als verdächtig ein, erscheint vor der Website eine Prüfseite, die Google reCAPTCHA nutzt (siehe Sicherheitssysteme).
• Die Website selbst setzt nur technisch notwendige Cookies: ein Sitzungs-Cookie und – nur wenn Sie es bei der Anmeldung wählen – ein Cookie, mit dem Sie auf Ihrem Gerät angemeldet bleiben (§ 25 Abs. 2 Nr. 2 TDDDG).
• Website, Datenbank und hochgeladene Dateien liegen auf einem Server in Deutschland. Zum Schutz vor Angriffen übermittelt unsere Sicherheitssoftware Angaben zu Zugriffen einschließlich IP-Adressen an ihren Hersteller in den USA (siehe Sicherheitssysteme).
• Personenbezogene Daten verarbeiten wir nur, soweit sie für Anfragen, Vertrag, Abrechnung, Sicherheit und gesetzliche Pflichten erforderlich sind. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

3. Hosting

Diese Website, die zugehörige Datenbank und der Mailserver für den E-Mail-Versand laufen auf einem von uns selbst verwalteten Server im Rechenzentrum der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Server steht in Deutschland (Rechenzentrumspark Falkenstein/Vogtland).

Hetzner stellt Rechenzentrum, Server-Hardware und Netzanbindung bereit und verarbeitet dabei personenbezogene Daten ausschließlich in unserem Auftrag und nach unseren Weisungen. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, zuverlässigen und effizienten Bereitstellung unserer Website (Art. 6 Abs. 1 lit. f DSGVO) bzw. – soweit Sie Kunde sind – die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4. Server-Logfiles & Sicherheitssysteme

Bei jedem Aufruf dieser Website verarbeitet unser Webserver automatisch Daten, die Ihr Browser übermittelt, und speichert sie in Protokolldateien (Server-Logfiles):

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Anfragemethode und aufgerufene Adresse (URL) einschließlich übergebener Parameter
• HTTP-Statuscode und übertragene Datenmenge
• Referrer-URL (die zuvor besuchte Seite), sofern Ihr Browser sie übermittelt
• Browsertyp, Browserversion und Betriebssystem (User-Agent)

Tritt ein Fehler auf, protokolliert der Server zusätzlich die Fehlermeldung zusammen mit der IP-Adresse. Weil die aufgerufene Adresse gespeichert wird, können die Logfiles auch Kennungen aus Links enthalten, die wir Ihnen per E-Mail schicken – etwa Links zu Ihrer Bestellübersicht, Anmeldelinks für Ihr Kundenkonto (sie gelten nur einmal und nur kurze Zeit) oder Links zur Bestätigung einer neuen E-Mail-Adresse (dieser Link enthält die neue Adresse in kodierter Form).

Wir benötigen diese Daten, um die Website technisch bereitzustellen, ihre Stabilität und Sicherheit zu gewährleisten, Fehler zu analysieren und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und störungsfreien Betrieb. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Zugriffsstatistik der Serververwaltung

Die Logfiles des Webservers löschen wir nach 14 Tagen automatisch. Daten, die zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden, speichern wir bis zu dessen Abschluss.

Zugriffsstatistik der Serververwaltung

Aus den Logfiles erstellt unsere Serververwaltungssoftware (Plesk, Auswertungsprogramm AWStats) automatisch eine Zugriffsstatistik, etwa zur Zahl der Aufrufe, zu häufig aufgerufenen Seiten, zu Herkunftsseiten und zu verwendeten Browsern. Sie enthält auch eine Liste der zugreifenden IP-Adressen mit der Zahl der Aufrufe, der übertragenen Datenmenge und dem Zeitpunkt des letzten Zugriffs. Die Statistik wird ausschließlich auf unserem Server erzeugt, ist passwortgeschützt und dient nur der technischen Auswertung (z. B. Auslastung und Fehler). Cookies, Zählpixel oder Skripte werden dafür nicht eingesetzt. Wir löschen die Statistikdaten nach drei Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Überwachung von Auslastung und Fehlern.

Sicherheitssysteme

Zum Schutz vor Angriffen setzen wir auf dem Server die Sicherheitssoftware Imunify360 der Cloud Linux Software, Inc., USA („CloudLinux“) ein. Sie umfasst u. a. eine Firewall, eine Web Application Firewall und einen Schadsoftware-Scanner, wertet Anfragen einschließlich der IP-Adresse automatisiert aus und blockiert auffällige Zugriffe. Erkennt die Software einen Angriff oder einen verdächtigen Zugriff, speichert sie den Vorfall mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Art des Vorfalls 100 Tage in einem Vorfallprotokoll auf unserem Server.

Angaben zu Zugriffen – insbesondere zu erkannten Angriffen – wie IP-Adresse, aufgerufene Adresse und Browserinformationen übermittelt die Software an Server von CloudLinux, die daraus u. a. Listen bekannter Angreifer-Adressen für alle geschützten Server erstellen. Dabei können Daten in die USA übermittelt werden. CloudLinux ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO).

Prüfseite bei verdächtigen Zugriffen: Stuft das System Ihre IP-Adresse als verdächtig ein, erscheint vor der Website eine Prüfseite, auf der Sie bestätigen, dass Sie ein Mensch sind. Diese Prüfseite nutzt den Dienst reCAPTCHA der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), und lädt Skripte, Stylesheets und Schriften von Servern von Google (www.google.com, ajax.googleapis.com, fonts.googleapis.com) sowie des Content-Delivery-Netzwerks BootstrapCDN (maxcdn.bootstrapcdn.com). Dabei erhalten Google und der Betreiber des CDN Ihre IP-Adresse und Informationen zu Browser und Gerät; Google wertet außerdem Ihre Interaktion mit der Prüfseite aus und kann dafür Cookies setzen und auslesen. Nach bestandener Prüfung wird das Ergebnis für begrenzte Zeit gespeichert, damit Sie nicht erneut geprüft werden. Google kann Daten an die Google LLC in den USA übermitteln; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen: policies.google.com/privacy. Wer nicht als verdächtig eingestuft wird, sieht die Prüfseite nicht – dann entstehen auch keine Verbindungen zu Google oder zum CDN.

Rechtsgrundlage ist unser berechtigtes Interesse, die Website und die bei uns gespeicherten Daten vor Angriffen, Spam und automatisierten Zugriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Soweit auf der Prüfseite Informationen in Ihrem Endgerät gespeichert oder ausgelesen werden, ist dies erforderlich, damit Sie die Website trotz der Sicherheitsprüfung aufrufen können (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Cookies & Sitzung

Die Website selbst setzt höchstens zwei Cookies (zu Cookies der Sicherheits-Prüfseite siehe Sicherheitssysteme). Das erste ist das technisch notwendige Sitzungs-Cookie mr_sid. Es wird beim ersten Aufruf einer Seite gesetzt und enthält nur eine zufällige Sitzungskennung. Es wird nur über verschlüsselte Verbindungen übertragen (Secure), ist für Skripte nicht auslesbar (HttpOnly), wird nicht bei Anfragen von fremden Websites mitgesendet (SameSite=Lax) und wird gelöscht, sobald Sie Ihren Browser schließen.

Über diese Kennung ordnet unser Server Ihrer Sitzung Daten zu, die auf dem Server (nicht in Ihrem Browser) liegen, u. a.: den Inhalt Ihres Warenkorbs, Ihren Anmeldestatus im Kundenkonto, die Seite, zu der Sie nach der Anmeldung zurückkehren, ein Sicherheits-Token gegen missbräuchliche Formularübermittlungen (CSRF-Schutz), Zeitstempel zur Begrenzung von Anfragen und zur Mindest-Ausfüllzeit von Formularen, Ihren persönlichen Ansprechpartner, kurzzeitige Hinweismeldungen (z. B. nach dem Absenden einer Anfrage mit Ihrem Vornamen und dem gewählten Thema), die noch zu bestätigende neue E-Mail-Adresse bei einer Adressänderung, die Dateinamen Ihres letzten Uploads sowie – nach einer fehlerhaften Formulareingabe – Ihre bisherigen Eingaben, damit Sie diese nicht erneut eintippen müssen (IBAN und Unterschrift ausgenommen). Zwischen den beiden Schritten der Kasse (Angaben, dann Vertrag) liegen Ihre Angaben einschließlich einer angegebenen IBAN höchstens 60 Minuten in der Sitzung; nach der Bestellung werden sie dort gelöscht. Diese Sitzungsdaten verfallen nach 2 Stunden ohne Aktivität und werden anschließend automatisch gelöscht.

Angemeldet bleiben: Wählen Sie bei der Anmeldung „Auf diesem Gerät angemeldet bleiben“, setzen wir das Cookie mr_dev. Es enthält eine zufällige Kennung und einen geheimen Prüfwert; bei uns gespeichert sind nur die Kennung, ein Hashwert des Prüfwerts, eine aus der Browserkennung abgeleitete Bezeichnung (z. B. „Chrome auf Android“), die IP-Adresse der Anmeldung und die Zeitpunkte von Anmeldung und letzter Nutzung. Das Cookie gilt 30 Tage ab der letzten Nutzung (HttpOnly, SameSite=Lax, bei verschlüsselter Verbindung Secure). Im Kundenkonto sehen Sie Ihre angemeldeten Geräte und können einzelne oder alle („Überall abmelden“) abmelden; beim Abmelden wird das Cookie gelöscht. Es ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Persönlicher Ansprechpartner: Damit Sie von Anfang an einen festen Ansprechpartner haben, ordnet die Website Ihrer Sitzung reihum ein Mitglied unseres Teams zu. Bestellen Sie, speichern wir diese Zuordnung bei Ihrem Auftrag. Ein Nutzungsprofil wird dabei nicht gebildet.

Das Speichern dieser Cookies in Ihrem Browser und der Zugriff darauf sind unbedingt erforderlich, damit wir die von Ihnen genutzten Funktionen (Warenkorb, Kundenkonto, Formulare) bereitstellen können (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich. Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Warenkorb, Kundenkonto, Bestellung) und auf unser berechtigtes Interesse an einem sicheren Betrieb und einer persönlichen Betreuung (Art. 6 Abs. 1 lit. f DSGVO).

Weitere Cookies – insbesondere Tracking-, Analyse- oder Marketing-Cookies – setzen wir nicht ein. Ihr Browser kann statische Dateien wie Stylesheets, Skripte, Schriften und Grafiken in seinem Zwischenspeicher (Cache) ablegen, damit Seiten schneller laden; wie lange, bestimmt Ihr Browser. Diese Dateien enthalten keine personenbezogenen Daten. Nur im passwortgeschützten Verwaltungsbereich für unser Team nutzt die Website zusätzlich den Sitzungsspeicher des Browsers (sessionStorage) für eine technische Merkfunktion.

6. Kontaktformular, E-Mail & Telefon

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, das gewählte Thema und Ihre Nachricht sowie – freiwillig – Firma und Telefonnummer und den Zeitpunkt der Anfrage. Ihre Anfrage wird in unserer Datenbank gespeichert und per E-Mail an das Postfach unseres Teams weitergeleitet. An die angegebene Adresse senden wir eine automatische Eingangsbestätigung (höchstens eine pro Adresse und Tag), die Ihre Nachricht nicht wiedergibt.

Solange die Online-Bestellung noch nicht freigeschaltet ist, können Sie Ihre Zusammenstellung in der Kasse als unverbindliche Anfrage senden. Dabei verarbeiten wir Vor- und Nachname, E-Mail-Adresse, die gewählten Leistungen mit Preisen, Laufzeit und Technikwunsch (auch als strukturierte Zusammenstellung, damit wir sie Ihnen später als Angebot in den Warenkorb legen können) sowie – freiwillig – Firma, Telefonnummer und Nachricht und den Zeitpunkt der Anfrage. Die Anfrage wird in unserer Datenbank gespeichert und per E-Mail an unser Team weitergeleitet. Damit Sie direkt einen Beratungstermin buchen und schon Ihr Projektbuch nutzen können, legen wir zu Ihrer Anfrage ein Kundenkonto (ohne Passwort, siehe Kundenkonto) und ein Projekt an; besteht zu Ihrer Adresse schon ein Kundenkonto, ordnen wir die Anfrage diesem zu, ohne dessen Daten zu ändern. Sie erhalten eine Eingangsbestätigung mit Ihrer Zusammenstellung, dem Link zur Terminbuchung und gegebenenfalls einem Anmeldelink (Ihre Nachricht geben wir darin nicht wieder). Zum Schutz vor Missbrauch nutzen wir ein unsichtbares Formularfeld und begrenzen die Zahl der Anfragen pro Sitzung und Internetanschluss (dafür speichern wir bis zu 24 Stunden einen gekürzten Hashwert Ihrer IP-Adresse). Schreiben Sie uns per E-Mail oder rufen Sie uns an, verarbeiten wir die Angaben, die Sie uns dabei mitteilen, ebenfalls zur Bearbeitung Ihres Anliegens.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Beim Kontaktformular verwenden wir zum Schutz vor Spam und Missbrauch – ohne externe Dienste – ein unsichtbares Formularfeld, eine Mindest-Ausfüllzeit sowie eine Begrenzung der Anfragen pro Sitzung und pro Internetanschluss. Für die Begrenzung pro Anschluss speichern wir im Protokolleintrag zur Anfrage (mit Thema und E-Mail-Adresse) einen gekürzten Hashwert Ihrer IP-Adresse, nicht die IP-Adresse selbst. Dieser Wert ist pseudonymisiert, aber nicht anonym. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen, die nicht zu einem Vertrag führen, löschen wir automatisch 12 Monate nach der letzten Aktivität zu der Anfrage (z. B. eine weitere Anfrage, eine Anmeldung, eine Terminbuchung, ein Upload oder eine Bearbeitung des Projekts) – zusammen mit dem zugehörigen Projekt, Terminen, Uploads und dem Kundenkonto, sofern es zu Ihrer E-Mail-Adresse keine Bestellung gibt; die zugehörigen Einträge im Aktivitätsprotokoll löschen wir nach den unter Speicherdauer genannten Fristen. Führt eine Anfrage zu einem Vertrag, bewahren wir die dazugehörige Korrespondenz als Geschäftsbrief sechs Jahre auf (siehe Speicherdauer).

7. Kundenkonto & Anmeldung per Link

Mit Ihrer ersten Bestellung oder Anfrage – oder auf Einladung durch unser Team – legen wir für Sie ein Kundenkonto an. Dabei verarbeiten wir Vor- und Nachname, E-Mail-Adresse, Anschrift und Land, Ihre Telefonnummer (bei einer Bestellung Pflichtangabe, sonst freiwillig), freiwillig Firma, Anrede und USt-IdNr. sowie die Zeitpunkte der Registrierung und der letzten Anmeldung. Ein Passwort gibt es nicht: Sie melden sich mit einem Link an, den wir an Ihre E-Mail-Adresse schicken. Im Konto sehen Sie Ihre Bestellungen, Vertragsdokumente, Rechnungen, Termine und hochgeladenen Dateien; Sie können dort Ihre Daten ändern, Termine buchen und Verträge kündigen.

• Anmeldung per Link (Magic Link): Fordern Sie einen Anmeldelink an, schicken wir ihn an die E-Mail-Adresse Ihres Kundenkontos. Der Link gilt 15 Minuten und nur einmal; erst ein Klick auf „Jetzt anmelden“ auf der geöffneten Seite meldet Sie an. Wir speichern nicht den Link selbst, sondern nur einen Hashwert davon, dazu Zweck und Ziel des Links (z. B. Rückkehr zur Kasse mit Ihrem Warenkorb und Ihren Angaben ohne Bankdaten), die IP-Adresse der Anforderung und der Nutzung sowie die Zeitpunkte. Abgelaufene Links können Sie mit einem Klick neu anfordern; die Datensätze löschen wir nach 30 Tagen. Ob zu einer Adresse ein Konto besteht, verraten Anmeldeseite und E-Mail nicht. Nur in der Kasse weisen wir darauf hin, damit nicht versehentlich ein fremdes Konto geändert wird.
• Anmeldung und Schutz Ihres Kontos: Anmeldungen protokollieren wir mit Kundennummer, Art der Anmeldung und Zeitpunkt. Um Missbrauch zu bremsen, begrenzen wir die Zahl der Anmeldelinks je Sitzung, je Internetanschluss und je E-Mail-Adresse; dafür speichern wir bis zu 24 Stunden gekürzte Hashwerte von IP-Adresse bzw. E-Mail-Adresse.
• Änderung der E-Mail-Adresse: Waren Sie in den letzten Minuten per Link angemeldet, schicken wir einen Bestätigungslink an die neue Adresse (24 Stunden gültig), sonst bitten wir Sie zuerst um eine erneute Anmeldung per Link. Nach der Bestätigung informieren wir Ihre bisherige Adresse und unser Team, melden alle anderen Geräte ab und protokollieren die Änderung (bisherige und neue Adresse).
• Kündigung: Kündigen Sie über das Kundenkonto, erhalten Sie eine Bestätigung per E-Mail. Einen freiwillig angegebenen Kündigungsgrund leiten wir an unser Team weiter und protokollieren ihn in gekürzter Form.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Protokollierung und die Begrenzung der Anmeldelinks beruhen auf unserem berechtigten Interesse, Ihr Konto und unsere Systeme vor unbefugtem Zugriff zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Ihr Kundenkonto besteht für die Dauer unserer Geschäftsbeziehung. Die Löschung können Sie jederzeit per E-Mail an info@jacoedo.de verlangen. Daten, die wir aus gesetzlichen Gründen aufbewahren müssen (z. B. Rechnungen und Vertragsunterlagen), schränken wir bis zum Ablauf der jeweiligen Frist in der Verarbeitung ein und löschen sie danach.

8. Projektbuch & Projektdaten

Zu jeder Bestellung – und zu Anfragen aus der Kasse – legen wir in Ihrem Kundenkonto ein Projekt an. Im Projektbuch können Sie freiwillig Fragen zu Ihrem Unternehmen, Ihren Zielen und Wünschen beantworten, angeben, welches Material schon vorhanden ist, Dateien hochladen und Nachrichten mit unserem Team austauschen. Wir verarbeiten dabei Ihre Antworten mit Bearbeitungsstand und Zeitpunkt, Ihre Angaben zu vorhandenem Material, Nachrichten, den Zeitplan Ihres Projekts mit Terminen und die Ihnen zugeordnete Ansprechperson. Ergänzt unser Team im Beratungstermin Antworten, ist das gekennzeichnet. Bitte tragen Sie keine Passwörter oder Zugangsdaten ein; Einträge, die danach aussehen, markiert das System für unser Team, damit sie gelöscht werden können. Bei Beginn des Entwurfs speichern wir einen unveränderlichen Stand Ihres Projektbuchs als Briefing.

Wir nutzen diese Daten ausschließlich, um Ihr Projekt umzusetzen, und schicken Ihnen dazu Hinweise per E-Mail, etwa zu Rückfragen, Feedbackrunden oder Schätzungen, sowie höchstens drei Erinnerungen an noch fehlende Angaben (übersprungene Fragen lösen keine Erinnerung aus; Erinnerungen lassen sich pausieren). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Projektdaten speichern wir für die Dauer des Vertragsverhältnisses und löschen sie innerhalb von drei Monaten nach Vertragsende; führt eine Anfrage nicht zu einem Vertrag, löschen wir das Projekt zusammen mit der Anfrage (siehe Kontaktformular, E-Mail & Telefon).

9. Bestellung & Vertragsdurchführung

Wenn Sie bei uns bestellen (Website-Leasing, Module, Extras oder Firmenstart-Pakete), verarbeiten wir:

• Ihre Kontakt- und Rechnungsdaten (siehe Kundenkonto); die Telefonnummer ist bei der Bestellung eine Pflichtangabe, damit wir Sie für Rückfragen und Projekttermine erreichen können,
• die Bestelldaten: gewählte Leistungen, Laufzeit, Technikwunsch, Preise, Ihre Anmerkung, Bestellnummer und Bestellzeitpunkt,
• die gewählte Zahlungsart sowie Ihre Bestätigungen, dass Sie als Unternehmer im Sinne von § 14 BGB bestellen, unsere AGB in der angegebenen Fassung akzeptieren und den Vertrag abschließen (siehe Elektronische Vertragsunterschrift) sowie – freiwillig – Ihre Einwilligung, Ihre Website als Referenz zu zeigen,
• Vertragsdaten wie Laufzeiten, Abrechnungstermine und Kündigungen sowie den Ihrem Auftrag zugeordneten Ansprechpartner,
• interne Notizen unseres Teams zur Abwicklung Ihres Auftrags,
• die IP-Adresse, von der aus die Bestellung abgeschickt wurde.

Sie erhalten eine Bestellbestätigung per E-Mail mit Ihrem Vertragsdokument als PDF; unser Team wird mit den Bestell- und Kontaktdaten benachrichtigt (ohne PDF). Ihre Bestellübersicht ist außerdem über einen persönlichen Link mit einem zufälligen Schlüssel erreichbar, den Sie per E-Mail erhalten – bitte geben Sie diesen Link nicht weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsschluss und -durchführung) sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO). Die IP-Adresse speichern wir auf Grundlage unseres berechtigten Interesses, Missbrauch zu verhindern und den Vertragsschluss nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO); in den Bestelldaten löschen wir sie automatisch 3 Jahre nach der Bestellung (regelmäßige Verjährungsfrist, §§ 195, 199 BGB). Die IP-Adresse im Unterschriftsprotokoll des Vertragsdokuments bewahren wir mit dem Vertragsdokument auf (siehe Elektronische Vertragsunterschrift).

10. Elektronische Vertragsunterschrift

Bevor Sie bestellen, zeigen wir Ihnen den vollständigen Vertragstext. Sie unterschreiben ihn elektronisch – gezeichnet mit Finger, Stift oder Maus im Unterschriftsfeld oder durch Eingabe Ihres Namens. Zum Nachweis des Vertragsschlusses speichern wir unveränderlich:

• den Vertragstext mit den Vertragsdaten (Leistungen, Preise, Laufzeit, Zahlart mit gekürzter IBAN, Ihre Stamm- und Rechnungsdaten sowie die vereinbarten Regeln zu Änderungen), Vertrags-, Bestell- und Kundennummer,
• Namen und – freiwillig – Funktion der unterschreibenden Person, das Unterschriftsbild (neu erzeugt, ohne eingebettete Metadaten) bzw. den eingegebenen Namen und den Wortlaut Ihrer Bestätigungen (AGB und Datenschutzerklärung gelesen, Bestellung als Unternehmer, Vertrag gelesen),
• Zeitpunkt, IP-Adresse und Browserkennung (User-Agent) der Unterschrift sowie, ob Ihre E-Mail-Adresse zu diesem Zeitpunkt per Anmeldelink bestätigt war,
• Prüfsummen (SHA-256) des Vertragstexts, der Unterschrift und der geltenden AGB-Fassung.

Aus diesen Daten erzeugen wir das Vertragsdokument als PDF mit einem Protokoll der Unterschrift, legen es auf unserem Server in Deutschland außerhalb des öffentlich erreichbaren Bereichs ab und schicken es Ihnen mit der Bestellbestätigung. Im Kundenkonto können Sie es jederzeit herunterladen oder als barrierefreie Fassung im Browser lesen. Unser Team kann das Dokument abrufen, auf Unverändertheit prüfen und erneut an Sie senden; diese Vorgänge werden protokolliert. Team-Benachrichtigungen enthalten das PDF nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsschluss), Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB (Aufbewahrung) sowie unser berechtigtes Interesse, den Vertragsschluss und seinen Inhalt nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Vertragsdokument und Protokoll bewahren wir bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen auf (§ 257 HGB, § 147 AO), mindestens aber 6 Jahre nach Ende des Kalenderjahres, in dem der Vertrag endet, und löschen sie danach. Den Text der AGB-Fassung, auf die Ihr Vertrag verweist, legen wir unverändert ab; er enthält keine Angaben zu Ihrer Person.

11. Zahlungsabwicklung

SEPA-Lastschrift

Wählen Sie die SEPA-Lastschrift, verarbeiten wir Kontoinhaber, IBAN, optional BIC, die Mandatsreferenz (Ihre Bestellnummer) und das Datum der Mandatserteilung. Die IBAN zeigen wir auf der Website und in E-Mails nur gekürzt an; die Einsicht in die vollständige IBAN durch unser Team wird protokolliert.

Zum Einzug erstellen wir eine SEPA-Lastschriftdatei mit Name des Kontoinhabers, IBAN, BIC, Mandatsreferenz und Mandatsdatum, Betrag und Rechnungsnummer sowie einem Verwendungszweck mit Rechnungsnummer, Leistungszeitraum und Kundennummer. Diese Datei übermitteln wir über das Online-Banking an unsere kontoführende Bank, die den Betrag über das Bankensystem bei Ihrer Bank einzieht. Über jeden Einzug informieren wir Sie vorab mit der Rechnung per E-Mail (Vorabankündigung).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Aufbewahrung von Mandaten und Belegen erfolgt nach Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Rechnung / Überweisung

Bei Zahlung auf Rechnung verarbeiten wir die Rechnungsdaten und den Zahlungseingang, um Ihre Zahlung zuordnen zu können (Art. 6 Abs. 1 lit. b DSGVO).

12. Rechnungen & Buchhaltung

Für Ihre Aufträge erstellen wir Rechnungen (einschließlich etwaiger Stornorechnungen) mit Rechnungsnummer, Datum, Leistungszeitraum, Positionen, Beträgen, Rechnungsanschrift, Zahlungsart und Zahlungsstatus. Rechnungen stellen wir in Ihrem Kundenkonto bereit und informieren Sie per E-Mail mit einem Link darauf. Für unsere Buchführung exportieren wir Rechnungsdaten (Rechnungsnummer, Datum, Kundennummer, Name, E-Mail-Adresse, Land, USt-IdNr. und Beträge) und übermitteln sie gegebenenfalls an unsere Steuerberatung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 und § 14b UStG, § 147 AO und § 257 HGB. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (siehe Speicherdauer).

13. Terminbuchung

Nach Ihrer Bestellung oder Anfrage können Sie über Ihre Bestell- bzw. Anfrageübersicht oder Ihr Kundenkonto einen Beratungs- oder Projekttermin buchen; unser Team kann Termine auch für Sie anlegen. Wir verarbeiten dazu Datum, Uhrzeit und Dauer, die Art des Termins, die gewünschte Gesprächsform (Video, Telefon oder vor Ort), Ihre freiwillige Notiz und die Zuordnung zu Ihrer Bestellung, Ihrem Projekt bzw. Ihrem Kundenkonto sowie die zuständige Ansprechperson. Wählen Sie ein Telefongespräch, benötigen wir Ihre Telefonnummer; eine bei der Buchung im Kundenkonto angegebene Nummer übernehmen wir als Telefonnummer in Ihr Kundenkonto.

Sie und unser Team werden über Buchung und Absage per E-Mail informiert. Zu Ihrem Termin können Sie eine Kalenderdatei (.ics) herunterladen; sie enthält keine personenbezogenen Daten. Für Videogespräche erhalten Sie von uns vorab einen Einladungslink. Mit der Einladung informieren wir Sie über den eingesetzten Dienst, dessen Anbieter, die dabei verarbeiteten Daten (z. B. Name, IP-Adresse, Bild und Ton während des Gesprächs) und eine etwaige Übermittlung in Länder außerhalb der EU. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Termindaten speichern wir für die Dauer des Vertragsverhältnisses.

14. Datei-Uploads

Im Kundenkonto können Sie Material für Ihr Projekt hochladen, z. B. Logo, Bilder und Texte. Wir verarbeiten dabei die Datei selbst, den ursprünglichen Dateinamen, den gewählten Bereich, Ihre freiwillige Notiz und Angabe zu den Bildrechten, Dateigröße und -typ (bei Bildern auch die Abmessungen), den Zeitpunkt des Uploads, den Prüfstatus durch unser Team und die Zuordnung zu Ihrem Projekt bzw. Ihrer Bestellung. Statt einer Datei können Sie auch einen Link angeben. Die Dateien liegen auf unserem Server in Deutschland außerhalb des öffentlich erreichbaren Bereichs; abrufen können sie nur Sie und unser Team. Über neue Uploads wird unser Team per E-Mail mit Dateiliste und Notiz informiert. Wir verwenden die Dateien ausschließlich zur Umsetzung Ihres Projekts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bitte beachten Sie: Dateien werden unverändert gespeichert. In Bildern eingebettete Metadaten (z. B. Aufnahmeort, Aufnahmezeit, Kameradaten) bleiben erhalten – entfernen Sie diese bei Bedarf vor dem Hochladen. Laden Sie nur Inhalte hoch, an denen Sie die erforderlichen Rechte besitzen. Zeigen Fotos erkennbare Personen, stellen Sie bitte sicher, dass deren Einwilligung zur Verwendung vorliegt.

Sie können hochgeladene Dateien jederzeit selbst in Ihrem Kundenkonto löschen; Datei und Eintrag werden dabei sofort entfernt, im Aktivitätsprotokoll bleibt nur der Vorgang mit Dateinamen vermerkt. Im Übrigen löschen wir Uploads automatisch 6 Monate nach dem Launch Ihrer Website bzw. nach Abschluss des Projekts – was wir dann noch brauchen, ist Teil Ihrer Website oder Ihrer Unterlagen. Dateien, die Sie später hochladen (z. B. zu Änderungswünschen), löschen wir 6 Monate nach dem Hochladen. Vertragsdokumente und Rechnungen sind davon nicht betroffen. Uploads zu einer Anfrage ohne Bestellung löschen wir zusammen mit der Anfrage (siehe Kontaktformular, E-Mail & Telefon).

15. E-Mail-Versand

E-Mails im Zusammenhang mit Anfragen, Bestellungen, Ihrem Projekt und Ihrem Kundenkonto – z. B. Eingangs- und Bestellbestätigungen mit dem Vertragsdokument als PDF, Rechnungen mit SEPA-Vorabankündigung, Terminbestätigungen und -absagen, Anmeldelinks, Links zur Bestätigung einer neuen E-Mail-Adresse, Sicherheitshinweise bei E-Mail-Änderungen, Projekthinweise und Kündigungsbestätigungen – versenden wir über unseren eigenen Mailserver auf dem in Abschnitt 3 genannten Server in Deutschland. Absender ist noreply@marktritter.de, Antworten gehen an info@jacoedo.de. Benachrichtigungen an unser Team gehen an ein internes Team-Postfach. Zur Zustellung werden E-Mails an den Mailserver Ihres E-Mail-Anbieters übermittelt.

Zur Nachvollziehbarkeit des Versands protokollieren wir Zeitpunkt, Empfänger, Betreff und Versandstatus (bei Anhängen Dateiname, Größe und Prüfsumme), für Projekt-Mails außerdem die Art der Mail, damit wir Erinnerungen begrenzen können; zusätzlich führt der Mailserver ein technisches Protokoll. Einträge im Versandprotokoll unserer Website löschen wir nach 30 Tagen. Newsletter oder Werbe-E-Mails versenden wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheitshinweise und die Protokollierung beruhen auf unserem berechtigten Interesse an einem sicheren und nachvollziehbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

16. Aktivitäts- und Fehlerprotokolle

Wichtige Vorgänge halten wir in einem internen Aktivitätsprotokoll fest, z. B. Registrierung und Anmeldung, angeforderte Anmeldelinks (ohne den Link selbst), Anfragen, Bestellungen, Vertragsunterschriften sowie Erzeugung, Abruf und Versand von Vertragsdokumenten, Änderungen der E-Mail-Adresse, Uploads und deren Löschung, Kündigungen, Zahlungsereignisse sowie die Einsicht in Bankdaten durch unser Team. Je nach Vorgang enthalten die Einträge Ihre E-Mail-Adresse, Ihren Namen oder Firmennamen, Dateinamen, einen gekürzten Kündigungsgrund oder einen gekürzten Hashwert Ihrer IP-Adresse (bei Anfragen über das Kontaktformular). Bei Anmeldeversuchen im passwortgeschützten Verwaltungsbereich für unser Team protokollieren wir die IP-Adresse und – bei Fehlversuchen – die eingegebene E-Mail-Adresse. Zugriff auf das Protokoll hat nur unser Team.

Außerdem schreibt die Website technische Fehlermeldungen in ein Fehlerprotokoll; es kann im Einzelfall Bestellnummern oder IP-Adressen enthalten.

Die Protokolle dienen der Nachvollziehbarkeit von Vorgängen, dem Nachweis gegenüber Ihnen und Dritten, der Abwehr von Missbrauch (z. B. zur Begrenzung von Anmeldeversuchen) und der Fehleranalyse. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und nachvollziehbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern die Einträge für die unter Speicherdauer genannten Fristen.

17. Empfänger & Drittländer

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff auf Ihre Daten, die sie für die jeweiligen Zwecke benötigen. An Dritte geben wir Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind:

• Hetzner Online GmbH als Auftragsverarbeiter für Rechenzentrum, Server und Netzanbindung (siehe Hosting),
• CloudLinux als Anbieter unserer Sicherheitssoftware Imunify360 (siehe Sicherheitssysteme),
• Google und der Betreiber des Content-Delivery-Netzwerks BootstrapCDN, nur wenn Ihnen die Sicherheits-Prüfseite angezeigt wird (siehe Sicherheitssysteme),
• unsere kontoführende Bank und – beim Lastschrifteinzug – Ihre Bank (siehe Zahlungsabwicklung),
• bei Videogesprächen der Anbieter des Videodienstes, über den wir Sie mit der Einladung informieren (siehe Terminbuchung),
• gegebenenfalls unsere Steuerberatung zur Erfüllung unserer Buchführungs- und Steuerpflichten,
• die Mailserver Ihres E-Mail-Anbieters bei der Zustellung unserer E-Mails,
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind (z. B. Finanzbehörden).

Eine Übermittlung in Länder außerhalb der EU bzw. des EWR findet nur in folgenden Fällen statt: an CloudLinux (USA) durch unsere Sicherheitssoftware sowie an Google (USA) und gegebenenfalls den Betreiber des CDN (nur bei Anzeige der Sicherheits-Prüfseite). CloudLinux und die Google LLC sind nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO); für den Betreiber des CDN können wir eine Verarbeitung außerhalb der EU nicht ausschließen. Setzen wir für ein Videogespräch einen Dienst ein, der Daten außerhalb der EU verarbeitet, informieren wir Sie darüber mit der Einladung.

18. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Die handels- und steuerrechtlichen Fristen beginnen jeweils mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist (§ 147 Abs. 4 AO, § 257 Abs. 5 HGB). Während einer Aufbewahrungsfrist schränken wir die Verarbeitung ein (Art. 18 DSGVO): Die Daten werden dann nur noch zur Erfüllung der Aufbewahrungspflicht verwendet, etwa für Prüfungen durch die Finanzverwaltung, und nach Fristablauf gelöscht – es sei denn, die Unterlagen sind noch für Steuern von Bedeutung, deren Festsetzungsfrist nicht abgelaufen ist (§ 147 Abs. 3 Satz 5 AO); dann löschen wir sie, sobald dies nicht mehr der Fall ist.

Bücher, Jahresabschlüsse und vergleichbare Unterlagen unserer Buchführung, in die Rechnungsdaten einfließen, sind zehn Jahre aufzubewahren (§ 147 Abs. 1 Nr. 1, Abs. 3 AO, § 257 Abs. 1 Nr. 1, Abs. 4 HGB). Über die gesetzlichen Fristen hinaus speichern wir Daten nur, wenn sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind.

19. Ihre Rechte

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO),
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Recht auf Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen,
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe unten),
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an die in Abschnitt 1 genannten Kontaktdaten.

Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO). Sie können sich insbesondere an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Für uns zuständig ist:

20. Sicherheit & Sonstiges

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte – etwa Anfragen, Bestellungen und Zahlungsdaten – eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile Ihres Browsers. Passwörter für Kundenkonten gibt es nicht; Anmeldelinks speichern wir nur als Hashwert. Ihre IBAN zeigen wir auf der Website, im Vertragsdokument und in E-Mails nur gekürzt an. Vertragsdokumente sind gegen nachträgliche Änderung gesperrt und über Prüfsummen überprüfbar. Bitte beachten Sie, dass die Datenübertragung im Internet, insbesondere per unverschlüsselter E-Mail, Sicherheitslücken aufweisen kann; ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Sie können unsere Website nutzen, ohne uns personenbezogene Daten mitzuteilen; technisch übermittelt Ihr Browser dabei nur die in Abschnitt 4 genannten Verbindungsdaten. Für Anfragen und Bestellungen benötigen wir die jeweils als Pflichtangaben gekennzeichneten Daten; ohne sie können wir Ihre Anfrage nicht beantworten bzw. den Vertrag nicht schließen und erfüllen. Name und Anschrift benötigen wir außerdem, weil wir sie gesetzlich in unseren Rechnungen angeben müssen (§ 14 Abs. 4 UStG); bei Kunden aus anderen EU-Staaten gilt das auch für die USt-IdNr. (§ 14a UStG). Nach Vertragsschluss sind Sie nach unseren AGB (§ 6) verpflichtet, uns die für die Umsetzung nötigen Inhalte und Informationen bereitzustellen; ohne sie können wir Ihr Projekt nicht oder nur verzögert umsetzen. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: September 2026