Datenschutzerklärung

Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen der gesetzlichen Bestimmungen der DSGVO, des BDSG und sonstiger datenschutzrechtlicher Vorschriften. Rechtsgrundlagen der Verarbeitung sind insbesondere:

• Art. 6 Abs. 1 lit. a DSGVO - Einwilligung: z. B. optionale Cloud-Synchronisation, Kamera-KI-Funktion (Webcam), Newsletter, Gamification-Leaderboards, Website-Analyse.
• Art. 6 Abs. 1 lit. b DSGVO - Vertragserfüllung: z. B. Bereitstellung der App, Konto- und Anmeldeverwaltung, Lizenzmanagement, Zahlungsabwicklung.
• Art. 6 Abs. 1 lit. c DSGVO - Rechtliche Verpflichtung: z. B. steuerrechtliche Aufbewahrungspflichten.
• Art. 6 Abs. 1 lit. f DSGVO - Berechtigte Interessen: z. B. IT-Sicherheit, Abwehr von Missbrauch, Lizenzprüfung.

Wir verarbeiten - je nach Nutzungsumfang und Vertragsgegenstand - folgende Kategorien:

• a) Basis- und Kontaktdaten: Name, E-Mail-Adresse, Anschrift (bei kostenpflichtiger Nutzung / Rechnungsadresse).
• b) Account- und Authentifizierungsdaten: Benutzername, Passwort (verschlüsselt gespeichert), Sitzungstoken, FIDO-/zertifikatsbezogene Daten (sofern genutzt).
• c) Nutzungs- und Telemetriedaten: IP-Adresse (bei Serveranfragen), User-Agent, Ereignislogs, Zeitpunkt und Dauer von Sitzungen, Lizenzprüf-Anfragen (nur technisch notwendige Daten).
• d) Zahlungs- und Rechnungsdaten: Rechnungsadresse, Zahlungsart, Rechnungsnummer, steuerrelevante Daten (USt-IdNr. bei B2B).
• e) Profildaten: Optionales Profilbild, Spracheinstellung (sofern vom Nutzer bereitgestellt).
• f) Optionale / Opt-In-Daten: Webcam-Bilder (ausschließlich lokal verarbeitet, kein Upload); Gamification-Statistiken (anonymisiert, nur nach Einwilligung); Cloud-Backup-Daten (nur nach Einwilligung).
• g) Support- und Kommunikationsdaten: E-Mail-Korrespondenz, Support-Tickets.
• h) Newsletter-Daten: E-Mail-Adresse, Anmeldezeitpunkt, IP-Adresse bei Anmeldung, Double-Opt-In-Bestätigungsstatus (nur nach Einwilligung).

Wir hosten unser Backend, unsere Datenbanken und sämtliche Cloud-Services bei Microsoft Azure. Anbieter ist die:

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer und zuverlässiger Infrastruktur).

Datenstandort: Deutschland (Azure-Region Germany West Central) & Frankreich (Azure-Region France Central). Die Daten werden innerhalb der Europäischen Union verarbeitet.

Auftragsverarbeitungsvertrag (AVV): Wir haben mit Microsoft einen AVV gemäß Art. 28 DSGVO abgeschlossen. Der AVV ist abrufbar unter: https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA.

Drittlandtransfer: Microsoft nutzt das EU-U.S. Data Privacy Framework sowie Standardvertragsklauseln (SCCs) und die EU Data Boundary-Zusage. Weitere Informationen: https://www.microsoft.com/en-us/trust-center/privacy/european-data-boundary-eudb.

Server-Logfiles: Beim Aufruf unserer Website werden durch die Infrastruktur technisch bedingt Verbindungsdaten verarbeitet. Etwaige Zugriffsprotokolle werden ausschließlich zur Gewährleistung des Betriebs und der IT-Sicherheit genutzt, IP-Adressen dabei gekürzt bzw. maskiert und nicht mit anderen Datenquellen zusammengeführt (Art. 6 Abs. 1 lit. f DSGVO).

Für unsere allgemeine E-Mail-Kommunikation, Terminverwaltung sowie interne Zusammenarbeit und Dokumentenverwaltung nutzen wir die Cloud-Dienste von Microsoft 365 (insbesondere Outlook/Exchange Online, Teams, OneDrive/SharePoint). Anbieter ist ebenfalls die Microsoft Ireland Operations Limited.

• Zweck der Verarbeitung: Abwicklung der geschäftlichen Korrespondenz mit Kunden, Partnern und Interessenten; interne Organisation.
• Kategorien verarbeiteter Daten: Kontaktdaten (Name, E-Mail-Adresse), Kommunikationsinhalte, Metadaten (Zeitstempel, IP-Adresse) sowie in Dokumenten enthaltene personenbezogene Daten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.
• Datenstandort & AVV: Es gelten die unter Punkt 5 genannten Bedingungen. Datenspeicherung vorrangig in der EU-Region (EU Data Boundary).

Zum Schutz unserer Webformulare (z. B. Kontaktformular, Newsletter-Anmeldung, Registrierung) vor automatisierten Bot-Anfragen und Spam nutzen wir den Dienst Cloudflare Turnstile. Anbieter ist

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA

Cloudflare Turnstile analysiert technische Browser-Signale (z. B. HTTP-Header, Browser-Eigenschaften, Netzwerkdaten), um zwischen menschlichen Nutzern und automatisierten Systemen zu unterscheiden. Cloudflare gibt an, die übermittelten Daten nicht für Werbezwecke oder zur Erstellung von Nutzerprofilen zu verwenden.

Cloudflare Turnstile setzt ggf. funktionale Cookies/LocalStorage-Einträge. Diese sind technisch notwendig und erfordern keine Einwilligung (§ 25 Abs. 2 TDDDG).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit unserer Website und Dienste).
• AVV: Abgeschlossen gemäß Art. 28 DSGVO. AVV abrufbar unter: cloudflare.com/cloudflare-customer-dpa.
• Drittlandtransfer: Cloudflare verarbeitet Daten in den USA. Cloudflare ist im EU-U.S. Data Privacy Framework zertifiziert und nutzt Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Datenschutzerklärung Cloudflare: cloudflare.com/privacypolicy.

Zur Analyse und Optimierung unseres Angebots erheben wir nach Ihrer ausdrücklichen Einwilligung eine anonymisierte Reichweiten- und Nutzungsstatistik. Erfasst werden Seitenaufrufe sowie anonyme Interaktions-Ereignisse (z. B. Scrolltiefe, Klicks auf externe Verweise und Downloads sowie technische Fehler). Die Verarbeitung erfolgt ausschließlich auf eigener Infrastruktur; es findet keine Übermittlung an Drittanbieter statt.

• Speicherort: Azure Table Storage, Region Germany West Central (EU)
• Verarbeitete Daten: Art des Ereignisses, gehashte IP-Adresse (SHA-256 mit Salt, auf 16 Zeichen gekürzt), User-Agent, aufgerufener URL-Pfad, verweisende Seite (Referrer), Verweildauer, Sprache, Bildschirmauflösung, Erstbesucher-Kennzeichen, anonyme Sitzungs-ID, ungefährer Standort (Land) auf Basis der IP-Adresse, ggf. Kampagnen-Parameter der aufrufenden URL (utm_*) sowie ein Ereignis-Detail (z. B. Scrolltiefe in Prozent, Ziel eines externen Verweises, Dateiname, Fehlermeldung). Die IP-Adresse wird ausschließlich zur Ableitung des ungefähren Standorts und zur Bildung des Hashwerts verarbeitet und nicht im Klartext gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Widerruf: Jederzeit über die Cookie-Einstellungen im Footer, mit Wirkung für die Zukunft
• Speicherdauer 14 Monate ab Erhebung; anschließend automatisierte Löschung

Innerhalb unseres Unternehmens erhalten nur diejenigen Stellen personenbezogene Daten, die diese zur Erfüllung ihrer Aufgaben benötigen. Für die Abwicklung von Zahlungen und die Erfüllung unserer buchhalterischen Pflichten setzen wir folgende Dienstleister ein:

Die Anmeldung zu unserem Newsletter erfolgt im sogenannten Double-Opt-In-Verfahren (DOI):

• Ablauf: Nach Eingabe der E-Mail-Adresse erhalten Sie eine Bestätigungs-E-Mail. Erst nach Klick auf den darin enthaltenen Bestätigungslink wird die Anmeldung aktiviert.
• Protokollierung: Zur rechtssicheren Dokumentation speichern wir E-Mail-Adresse, IP-Adresse bei Anmeldung und Bestätigung sowie die jeweiligen Zeitstempel.
• Versanddienstleister: Microsoft Azure Communication Services (AVV gemäß Art. 28 DSGVO abgeschlossen).
• Tracking: Wir verwenden keine Newsletter-Tracking-Pixel (kein Öffnungs- oder Klick-Tracking).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie § 7 Abs. 2 Nr. 3 UWG.
• Speicherdauer: E-Mail-Adresse und Einwilligungsnachweis (DOI-Log) werden für die Dauer der Einwilligung gespeichert. Nach Abmeldung werden die Einwilligungsnachweise aus Nachweisgründen bis zu drei Jahre aufbewahrt (§ 7 Abs. 2 Nr. 2 UWG).
• Abmeldung: Sie können Ihre Einwilligung jederzeit widerrufen - über den Abmeldelink in jedem Newsletter oder per E-Mail an privacy@sitzfritz.de.

Wir verarbeiten personenbezogene Daten vorrangig innerhalb der EU/des EWR. Bei Nutzung von Drittanbieter-Diensten (Cloudflare, Microsoft) können Daten in Drittstaaten (insbesondere USA) übermittelt werden. Als Schutzmechanismen nutzen wir:

• EU-U.S. Data Privacy Framework (für zertifizierte US-Anbieter).
• Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.
• Spezifische Datenlokations-Zusagen von Microsoft (EU Data Boundary).

Auf Anfrage stellen wir Informationen zu den konkret eingesetzten Transfermechanismen bereit.

Auf unserer Website verwenden wir technisch notwendige Cookies und LocalStorage-Einträge sowie - nach Ihrer ausdrücklichen Einwilligung - eine datenschutzfreundliche, anonymisierte Reichweitenanalyse (eigenes System, kein Drittanbieter). Die Einwilligung kann jederzeit über den Link 'Cookie-Einstellungen' im Footer der Website widerrufen werden.

Wir verwenden keine Google-Dienste (kein Google Analytics, keine Google Fonts, kein Google Tag Manager).

Automatisierte Datenschutz-Signale Ihres Browsers wie Do Not Track (DNT) und Global Privacy Control (GPC) berücksichtigen wir: Unsere Analyse startet ohnehin nur nach ausdrücklicher Einwilligung; ist ein solches Signal gesetzt, unterbleibt die analytische Verarbeitung zusätzlich unabhängig von einer Einwilligung.

Cloudflare Turnstile setzt im Zuge der Bot-Erkennung ggf. funktionale Cookies/LocalStorage-Einträge (technisch notwendig, § 25 Abs. 2 TDDDG).

Personenbezogene Daten werden gelöscht, sobald sie für den Zweck ihrer Erhebung nicht mehr erforderlich sind.

Wir setzen angemessene technische und organisatorische Maßnahmen (Art. 32 DSGVO) ein, um personenbezogene Daten zu schützen, insbesondere:

• Verschlüsselung in Transit (TLS/HTTPS) und at Rest.
• Zugangskontrollen und Rollen-/Berechtigungsmanagement.
• Regelmäßige Backups und Notfallwiederherstellungskonzepte.
• Monitoring und Sicherheitsprotokollierung.
• Regelmäßige Patch-Management-Prozesse.
• Geplante Penetrationstests / Sicherheitsüberprüfungen.

Details zu konkreten TOMs stellen wir auf Anfrage und im Rahmen datenschutzrechtlich zulässiger Offenlegung bereit (insbesondere im Rahmen eines AVV).

Für die Registrierung, Anmeldung und Verwaltung Ihres Nutzerkontos setzen wir eine selbst betriebene Authentifizierungslösung (Identity- und Access-Management auf Basis quelloffener Software) ein. Diese läuft ausschließlich auf unserer eigenen Infrastruktur (auth.sitzfritz.de, Microsoft Azure, Region Germany West Central).

• Verarbeitete Daten: E-Mail-Adresse, Name, pseudonyme Nutzerkennung, Rollen und Berechtigungen, Anmeldezeitpunkte sowie die zur Durchführung der Anmeldung technisch erforderlichen Sitzungs- und Token-Daten und die IP-Adresse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos / Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Missbrauchsabwehr).
• Anmeldung über Google oder Microsoft (optional): Optional können Sie sich über einen externen Anbieter (Google oder Microsoft) anmelden. Nur wenn Sie dies aktiv auswählen, findet die Authentifizierung beim jeweiligen Anbieter statt; dabei werden in dessen Verantwortung Daten mit dem Anbieter ausgetauscht (siehe dessen Datenschutzerklärung). Ohne Ihre aktive Auswahl erfolgt keine Übermittlung an diese Anbieter.
• Speicherort: EU (Deutschland, Microsoft Azure Germany West Central).
• Speicherdauer: Für die Dauer des bestehenden Nutzerkontos; Löschung nach Beendigung des Vertragsverhältnisses, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Sie haben nach DSGVO folgende Rechte:

• Auskunft über verarbeitete Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen die Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: privacy@sitzfritz.de.

Widerruf der Einwilligung für Website-Analyse: Sie können Ihre Einwilligung zur Nutzungsanalyse jederzeit über den Link 'Cookie-Einstellungen' im Footer der Website widerrufen.

Änderungen dieser Datenschutzerklärung werden an dieser Stelle veröffentlicht. Bei wesentlichen Änderungen (z. B. neue Verarbeitungszwecke, neue Drittanbieter, neue Drittlandtransfers) informieren wir registrierte Nutzer zusätzlich per E-Mail. Das Datum der letzten Aktualisierung ist stets oben angegeben.