Datenschutz

1. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten, um die Website technisch bereitzustellen und abzusichern, Anfragen zu beantworten sowie angefragte Telefontermine vorzubereiten und durchzuführen.

Soweit Sie eine Leistung anfragen, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage für vorvertragliche Maßnahmen oder die Vertragsdurchführung. Für allgemeine geschäftliche Kommunikation, den sicheren Websitebetrieb, Missbrauchsschutz und die bedarfsgerechte regionale Bereitstellung stützen wir uns auf unsere berechtigten Interessen nach Art. 6 Abs. 1 lit. f DSGVO.

2. Hosting durch Cloudflare

Diese Website wird über Cloudflare Pages, Pages Functions und die Cloudflare-D1-Datenbank bereitgestellt. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, California 94107, USA. Cloudflare verarbeitet Daten in unserem Auftrag.

Beim Abruf können insbesondere IP-Adresse, aus der IP-Adresse abgeleiteter Ländercode, Datum und Uhrzeit, angeforderte Adresse und Datei, Referrer, HTTP-Methode und Status, Browser- und Geräteinformationen sowie Sicherheitsmerkmale verarbeitet werden. Diese Daten sind für Auslieferung, Fehleranalyse, Abwehr missbräuchlicher Zugriffe und Stabilität erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Anwendung führt kein eigenes vollständiges Zugriffsprotokoll. Soweit Workers Logs in der Cloudflare-Konfiguration aktiviert sind, beträgt deren reguläre Aufbewahrung nach den aktuellen Cloudflare-Leistungsgrenzen drei Tage im Free-Tarif und sieben Tage im Paid-Tarif. Echtzeitprotokolle werden nicht gespeichert. Weitergehende Sicherheits- und Infrastrukturprotokolle verarbeitet Cloudflare nach den vertraglichen und produktspezifischen Vorgaben.

Je nach Cloudflare-Infrastruktur und Konfiguration kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. Cloudflare nennt hierfür insbesondere Angemessenheitsbeschlüsse, einschließlich des EU-US Data Privacy Framework, und EU-Standardvertragsklauseln als Übermittlungsinstrumente. Weitere Informationen finden Sie in der Datenschutzerklärung von Cloudflare.

3. Regionale Zugriffskontrolle

Cloudflare ordnet eine Anfrage anhand der IP-Adresse einem Ländercode zu; unsere Anwendung vergleicht diesen Code mit einer Ausschlussliste. Die öffentlich lesbaren Seiten und Dateien bleiben unabhängig vom ermittelten Land erreichbar. API-Zugriffe, Schreibanfragen und der Abruf der Terminverfügbarkeit aus den USA und Indien werden derzeit automatisiert abgewiesen. Besucher und Suchmaschinen erhalten bei öffentlichen Seiten denselben Inhalt.

Die Anwendung speichert den Ländercode oder eine Bot-Kategorie nicht in der Formular-Datenbank. Die Zugriffskontrolle dient dem Schutz der Formulare, Terminverfügbarkeit und technischen Schnittstellen vor missbräuchlicher Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Entscheidung hat keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO.

4. Kontaktformular und System-Check

Beim Absenden des allgemeinen Kontaktformulars verarbeiten wir Name, E-Mail-Adresse, eine freiwillig angegebene Website und den Nachrichtentext. Beim Poolbau-System-Check verarbeiten wir Name, Firma, E-Mail-Adresse, Telefonnummer und den ausgewählten durchschnittlichen Beckenwert.

Beim Poolbau-System-Check speichern wir außerdem eine Quellenkennzeichnung. Sie wird aus dem optionalen URL-Parameter src für Anrufe, E-Mails, Anzeigen oder den Verweis von unserer Startseite abgeleitet; fehlt eine gültige Kennzeichnung, wird die Quelle als direkter Aufruf erfasst. Die Kennzeichnung dient der Auswertung, über welchen eigenen Kontaktweg die Anfrage eingegangen ist, und nicht der seitenübergreifenden Profilbildung. IP-Adresse und Browserkennung werden nicht in die Benachrichtigungs-E-Mail aufgenommen.

Die Verarbeitung erfolgt je nach Inhalt der Anfrage auf Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Pflichtfelder sind erforderlich, damit wir die Anfrage zuordnen und beantworten können; ohne diese Angaben ist eine Bearbeitung über das Formular nicht möglich.

5. Terminanfrage

Bei einer Terminanfrage verarbeiten wir Name, Firma, E-Mail-Adresse, Telefonnummer sowie das ausgewählte Datum und die Uhrzeit. IP-Adresse und Browserkennung werden nicht in die Benachrichtigungs-E-Mail aufgenommen. Die Daten verwenden wir, um die Anfrage zu prüfen, den Termin zu reservieren und Sie zur ausgewählten Zeit zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie vorvertragliche Maßnahmen für sich selbst anfragen. Handeln Sie als Ansprechpartner eines Unternehmens, ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage; unser berechtigtes Interesse ist die Bearbeitung der geschäftlichen Anfrage.

Datum, Uhrzeit, Name, Firma, E-Mail-Adresse und Telefonnummer sind für die Terminanfrage erforderlich. Ohne diese Angaben können wir den gewünschten Rückruf nicht zuordnen oder vereinbaren.

Die Auswahl von Datum und Uhrzeit wird auf dem Weg zur Buchungsseite in deren URL übertragen. Dadurch kann diese Auswahl im Browserverlauf und in technisch erforderlichen Anfrageprotokollen erscheinen. Die öffentlich abrufbare Verfügbarkeitsdatei enthält nur Terminstatus, Datum und Uhrzeit, keine Namen oder Kontaktdaten.

Die Buchung läuft derzeit über unser eigenes Formular. Cal.com oder ein anderer externer Kalenderdienst wird nicht automatisch geladen. Sollte dies geändert werden, aktualisieren wir diese Erklärung vor der Aktivierung.

6. Formular-Datenbank und Aufbewahrung

Gültige Kontakt- und Terminanfragen werden vor dem E-Mail-Versand in Cloudflare D1 gespeichert. Gespeichert werden die in den Abschnitten 4 und 5 genannten Formularangaben, Art und Status der Anfrage sowie Erstellungs- und Änderungszeitpunkte. Beim Poolbau-System-Check werden Kampagne, Beckenwert und Quellenkennzeichnung strukturiert im Nachrichtentext des Datensatzes festgehalten. IP-Adresse, Browserkennung und Ländercode werden nicht zusammen mit dem Formular-Datensatz gespeichert.

Formular-Datensätze, die älter als 90 Tage sind, werden bei der nächsten gültigen Formularverarbeitung aus der Produktivdatenbank gelöscht. Bleibt eine weitere Anfrage aus, kann diese Löschung deshalb später erfolgen. Cloudflare D1 führt eine Wiederherstellungshistorie („Time Travel“); bereits gelöschte Daten können abhängig vom gebuchten Tarif noch bis zu sieben beziehungsweise 30 Tage wiederherstellbar sein. Terminbelegungen ohne Namen oder Kontaktdaten können länger gespeichert werden, damit bereits vergebene Zeiten nicht erneut angeboten werden.

7. Schutz vor Spam und Missbrauch

Formularanfragen werden mengenmäßig begrenzt. Hierzu erzeugen wir aus der IP-Adresse mittels SHA-256 einen pseudonymen Prüfwert. Aus Prüfwert, Zweck und kurzem Zeitfenster entsteht ein interner Datenbankschlüssel; zusätzlich speichern wir Zähler und Ablaufzeit. Die aktiven Zeitfenster betragen eine beziehungsweise 15 Minuten. Diese Daten dienen ausschließlich dem Schutz der Formulare und werden nicht für Werbung oder Nutzungsprofile verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Bei jeder späteren Formularprüfung werden sämtliche abgelaufenen Einträge aus der Produktivdatenbank gelöscht. Erfolgen keine weiteren Anfragen, kann ein technisch abgelaufener Eintrag länger verbleiben; für die D1-Wiederherstellungshistorie gilt anschließend die in Abschnitt 6 genannte Dauer.

8. E-Mail-Versand

Die eingegebenen Formularinhalte werden an unser geschäftliches Postfach weitergeleitet. IP-Adresse und Browserkennung sind nicht Bestandteil der Benachrichtigung. Für die technische Zustellung setzt die Anwendung den in der Produktionsumgebung festgelegten E-Mail-Versanddienstleister ein. Pro Anfrage wird nur dieser konfigurierte Dienst angesprochen.

Für eingehende Nachrichten an Adressen der Domain inovy.co ist derzeit Cloudflare Email Routing eingerichtet. Cloudflare verarbeitet dabei E-Mail- und Routingdaten und leitet die Nachricht an das konfigurierte Zielpostfach weiter. Die Nachricht kann deshalb sowohl den technischen Versanddienst als auch Cloudflare und den Anbieter des Zielpostfachs durchlaufen.

Abhängig vom eingesetzten Anbieter kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums stattfinden. In diesem Fall erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses, insbesondere des EU-US Data Privacy Framework, oder geeigneter Garantien wie EU-Standardvertragsklauseln.

E-Mail-Kopien werden nicht durch die 90-Tage-Bereinigung der D1-Formular-Datenbank gelöscht. Anfragen, die nicht zu einem Auftrag führen, löschen wir spätestens zwölf Monate nach dem letzten inhaltlichen Kontakt, sofern keine konkrete Nachweis- oder Rechtsverteidigungspflicht eine längere Speicherung erfordert. Wird ein Auftrag geschlossen, wird die zugehörige Korrespondenz nach den für Geschäfts- und Steuerunterlagen geltenden Fristen aufbewahrt, soweit sie tatsächlich aufbewahrungspflichtig ist. Technische Zustellprotokolle richten sich nach den Einstellungen und Aufbewahrungsfristen des aktiv eingesetzten Dienstleisters.

9. Cookies, lokale Speicherung und Analyse

Die aktuell veröffentlichte Website setzt durch die Anwendung keine Cookies, kein Local Storage und keine vergleichbaren nicht notwendigen Speichertechniken ein. Wir verwenden keine Analyse-, Werbe- oder Social-Media-Tracking-Dienste. Deshalb erscheint derzeit kein Einwilligungsbanner.

Technisch notwendige Sicherheitsmechanismen des Hosting-Anbieters bleiben hiervon unberührt. Werden künftig einwilligungspflichtige Dienste oder Speichertechniken aktiviert, holen wir die erforderliche Einwilligung vorab ein und aktualisieren diese Erklärung.

10. Externe Links

Die Projektbeispiele enthalten Links zu Websites Dritter. Erst wenn Sie einen solchen Link öffnen, erhält der jeweilige Betreiber übliche Verbindungsdaten wie Ihre IP-Adresse und gegebenenfalls die Herkunfts-Domain. Für die Datenverarbeitung auf der Zielseite ist deren Betreiber verantwortlich.

11. Empfänger

Personenbezogene Daten erhalten nur intern zuständige Personen sowie die zur Bereitstellung eingesetzten Hosting-, Datenbank- und E-Mail-Dienstleister, soweit dies für die genannten Zwecke erforderlich ist. Mit Auftragsverarbeitern schließen wir die gesetzlich erforderlichen Vereinbarungen. Wir verkaufen keine personenbezogenen Daten.

12. Ihre Rechte

Sie haben nach Maßgabe der DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Widerspruchsrecht

Sie können einer auf Art. 6 Abs. 1 lit. f DSGVO gestützten Verarbeitung jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Außerdem können Sie sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

13. Sicherheit und Änderungen

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten, darunter verschlüsselte Übertragung, serverseitige Eingabeprüfung, Zugriffsbeschränkungen sowie Schutz vor automatisiertem Missbrauch. Ein vollständiger Schutz bei Datenübertragungen über das Internet kann dennoch nicht garantiert werden.

Wir passen diese Erklärung an, wenn sich Datenverarbeitungen, Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die jeweils hier veröffentlichte Fassung.