Datenschutzerklärung

Hosting bei Vercel

Wir hosten diese Website bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Vercel stellt die Server bereit, liefert die Seiten aus und führt die Serverfunktionen aus, die unsere Formulare verarbeiten. Vercel ist dabei Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist Vercels Auftragsverarbeitungsvertrag, der Teil der Vertragsbedingungen von Vercel ist.

Vercel setzt seinerseits Unterauftragnehmer ein, vor allem Amazon Web Services; die meisten sitzen in den USA. Vercel veröffentlicht die aktuelle Liste seiner Unterauftragnehmer.

Wo die Daten verarbeitet werden

Die Serverfunktionen dieser Website, die unter anderem beide Formulare verarbeiten, laufen in Vercels Region Frankfurt am Main. Die Seiten selbst liefert Vercel über ein weltweites Netz von Servern aus, jeweils von einem Standort in Ihrer Nähe. Bei einem Aufruf aus Deutschland ist das in der Regel Frankfurt. Vercel hat seinen Sitz in den USA und kann Daten auch dort und in weiteren Ländern verarbeiten; wie diese Übermittlung abgesichert ist, steht in Abschnitt 10.

Welche Daten bei jedem Aufruf anfallen

Bei jedem Aufruf einer Seite verarbeitet Vercel:

• Ihre IP-Adresse und den daraus abgeleiteten ungefähren Standort (Land, Stadt)
• Datum und Uhrzeit des Aufrufs
• die aufgerufene Adresse mit angehängten Parametern, die Zugriffsmethode (etwa Abruf einer Seite oder Absenden eines Formulars) und den Statuscode der Antwort
• die Adresse der Seite, von der Sie kommen (Referrer), soweit Ihr Browser sie übermittelt
• Angaben zu Browser und Betriebssystem (User-Agent)
• technische Merkmale der Verbindung, etwa den Fingerabdruck der verschlüsselten Verbindung, und die Vercel-Region, die den Aufruf bearbeitet hat

Zweck und Rechtsgrundlage

Wir brauchen diese Daten, um die Website auszuliefern, ihren stabilen und sicheren Betrieb zu gewährleisten und Fehler und Angriffe zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in genau diesen Zwecken.

Speicherdauer

Die Protokolle mit diesen Daten bewahrt Vercel nach eigenen Angaben in unserem Tarif einen Tag für uns auf; danach können wir sie nicht mehr einsehen. Ob und wie lange Vercel sie darüber hinaus in Sicherungen oder für den Betrieb vorhält, veröffentlicht Vercel nicht. Schlägt der Versand eines Formulars fehl, enthält das Protokoll zusätzlich eine technische Fehlermeldung des Versanddienstes. Wie lange Vercel Daten in eigener Verantwortung aufbewahrt, legt Vercel selbst fest (siehe unten).

Verarbeitung durch Vercel in eigener Verantwortung

Bestimmte Nutzungs- und Sicherheitsdaten aus dem Betrieb seiner Plattform verarbeitet Vercel außerdem in eigener Verantwortung, um seine Dienste zu betreiben, abzusichern und zu verbessern. Insoweit ist Vercel nicht unser Auftragsverarbeiter, sondern selbst verantwortlich. Vercel bewahrt die Daten nach eigenen Angaben nur so lange auf, wie es dafür nötig ist. Rechtsgrundlage für diese Weitergabe ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicher und zuverlässig betriebener Hosting-Dienst. Näheres steht in der Datenschutzerklärung von Vercel.

Grundsatz: nur mit Ihrer Einwilligung

Ohne Ihre Einwilligung setzt diese Website keine Cookies, verwendet keine Analyse-, Tracking- oder Marketingdienste und lädt keine Inhalte anderer Anbieter: Texte, Bilder, Schriften und Programmcode kommen dann von werkraum.studio selbst. In Ihrem Endgerät landet nur, was technisch nötig ist: Ihr Browser hält Dateien der Website im Zwischenspeicher (Cache) und merkt sich, die Website nur verschlüsselt aufzurufen (HSTS). Haben Sie unsere Frage nach optionalen Cookies beantwortet, speichert die Website Ihre Antwort im Local Storage Ihres Browsers, damit wir Sie nicht bei jedem Besuch erneut fragen müssen; an uns oder andere übermittelt wird sie nicht. All das ist unbedingt erforderlich und braucht deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

Google Analytics, nur mit Ihrer Einwilligung

Mit Ihrer Einwilligung nutzen wir Google Analytics 4, einen Dienst zur Reichweitenmessung der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Damit sehen wir, wie die Website genutzt wird: welche Seiten aufgerufen werden und wie lange, über welche Links Besucher kommen und mit welcher Art von Gerät und Browser. So können wir die Website verbessern.

Erst wenn Sie beim ersten Besuch „Akzeptieren“ wählen oder den Schalter unten einschalten, lädt Ihr Browser ein Skript von Google und setzt zwei Cookies: _ga, um Ihren Browser bei späteren Besuchen wiederzuerkennen, und _ga_SX0KJ2PKBG, um die laufende Sitzung festzuhalten. Beide verfallen nach zwei Jahren. Dabei übermittelt Ihr Browser unter anderem Ihre IP-Adresse, die aufgerufene und die zuvor besuchte Seite, Angaben zu Gerät, Betriebssystem, Browser und Bildschirm, die Spracheinstellung, Zeitpunkte sowie eine zufällige Kennung an Google. Daten aus der EU nimmt Google auf Servern in der EU entgegen; dort wird aus der IP-Adresse ein ungefährer Standort (Land, Region, Stadt) abgeleitet und die Adresse sofort verworfen. Google Analytics speichert keine IP-Adressen.

Google Signals und die Personalisierung von Werbung haben wir ausgeschaltet: Die Daten werden nicht mit einem Google-Konto verknüpft und nicht für Werbung genutzt. Google verarbeitet sie als unser Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage der Bedingungen von Google für die Datenverarbeitung. Die gespeicherten Analysedaten löscht Google nach zwei Monaten automatisch. Google kann Daten an die Google LLC in den USA übermitteln (Abschnitt 10). Näheres steht in der Datenschutzerklärung von Google.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig; ohne sie können Sie die Website uneingeschränkt nutzen. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie diesen Schalter ausschalten. Die Cookies von Google Analytics werden dabei aus Ihrem Browser gelöscht. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Ausnahme: Sicherheitsprüfung von Vercel

Stuft das Schutzsystem von Vercel einen Aufruf als möglicherweise automatisiert ein, kann vor der Seite eine kurze Prüfung im Browser erscheinen. Dabei prüft ein Skript von Vercel technische Merkmale Ihres Browsers. Haben Sie die Prüfung bestanden, hält Vercel das für etwa eine Stunde in Ihrem Browser fest, in der Regel mit einem Cookie. Das geschieht nur in Ausnahmefällen. Einer Einwilligung bedarf es dafür nicht (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Website vor Angriffen.

Das Anfrageformular

Das Anfrageformular erreichen Sie über „Anfrage“ auf jeder Seite und auf der Kontaktseite. Es enthält diese Felder:

Pflichtangaben

Name, E-⁠Mail-Adresse und Ihre Nachricht. Ohne sie können wir Ihre Anfrage nicht beantworten.

Freiwillige Angaben

Telefonnummer, Anlass, Wunschtermin und Personenzahl. Sie helfen uns, Ihr Vorhaben einzuschätzen; lassen Sie sie weg, entsteht Ihnen kein Nachteil.

Automatisch ergänzt

Der Raum, wenn Sie die Anfrage zu einem bestimmten Raum stellen.

Ihre Eingaben werden erst übertragen, wenn Sie das Formular absenden.

Was mit Ihrer Anfrage geschieht

Die Serverfunktion bei Vercel prüft die abgesendete Anfrage (Abschnitt 7) und stellt sie uns als E-⁠Mail in unser Postfach zu. Als Antwortadresse steht darin Ihre E-⁠Mail-Adresse, damit wir Ihnen direkt antworten können. Den Versand übernimmt Resend, das Postfach liegt bei Zoho (Abschnitt 8). In einer Datenbank speichern wir Ihre Anfrage nicht, und die Website schickt Ihnen keine Bestätigungs-E-⁠Mail.

Anfragen per E-⁠Mail und Telefon

Schreiben Sie uns direkt eine E-⁠Mail, verarbeiten wir Ihre E-⁠Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht. Rufen Sie uns an, verarbeiten wir die Angaben, die Sie uns im Gespräch machen. Für beides gilt dasselbe wie für das Formular.

Zweck und Rechtsgrundlage

Wir verarbeiten Ihre Angaben, um Ihre Anfrage zu beantworten und gegebenenfalls eine Buchung vorzubereiten und abzuwickeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst unser Vertragspartner sind oder werden wollen. Fragen Sie für ein Unternehmen oder eine Organisation an oder geht es um eine allgemeine Frage, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es dann, Anfragen zu beantworten und Buchungen mit unseren Geschäftskunden vorzubereiten.

Speicherdauer

Führt Ihre Anfrage nicht zu einer Buchung, löschen wir sie 6 Monate nach dem letzten Kontakt. Kommt eine Buchung zustande, bewahren wir die zugehörige Korrespondenz als Geschäftsbriefe 6 Jahre auf, Rechnungen und Buchungsbelege 8 Jahre, jeweils ab dem Ende des Kalenderjahres, in dem der Brief eingegangen oder versandt beziehungsweise der Beleg entstanden ist. Dazu verpflichten uns § 257 HGB und § 147 AO; Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Das Anmeldeformular

Zu manchen Veranstaltungen können Sie sich auf deren Seite anmelden. Das Formular fragt nur Ihren Namen und Ihre E-⁠Mail-Adresse ab, beides als Pflichtangabe. Um welche Veranstaltung es geht, ergänzt die Website selbst. Die Anmeldung erreicht uns als E-⁠Mail in unserem Postfach für Veranstaltungen, mit Ihrer E-⁠Mail-Adresse als Antwortadresse. Die Website schickt Ihnen keine Bestätigungs-E-⁠Mail. Anmeldungen per E-⁠Mail, etwa über den QR-Code auf einem Flyer, behandeln wir genauso.

Zweck und Rechtsgrundlage

Wir verwenden Ihren Namen und Ihre E-⁠Mail-Adresse nur, um Ihre Teilnahme zu organisieren: für die Gästeliste und für Nachrichten zu dieser Veranstaltung, etwa bei einer Änderung. Für Einladungen zu anderen Veranstaltungen oder für Werbung verwenden wir Ihre Adresse nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn mit der Anmeldung vereinbaren wir Ihre Teilnahme. Melden Sie eine andere Person an, verarbeiten wir deren Namen und gegebenenfalls deren E-⁠Mail-Adresse auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine vollständige Gästeliste.

Speicherdauer

Wir löschen die Anmeldungen spätestens 4 Wochen nach der Veranstaltung.

Versand über Resend

Damit uns Anfragen und Anmeldungen aus den Formularen als E-⁠Mail erreichen, nutzen wir den Versanddienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Die Serverfunktion übergibt Resend die fertige E-⁠Mail: unsere Absender- und Empfängeradresse, Ihre E-⁠Mail-Adresse als Antwortadresse, den Betreff (bei Anfragen mit Ihrem Namen) und den Inhalt mit Ihren Angaben aus dem Formular. Ihre IP-Adresse erhält Resend nicht.

Resend ist dabei Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist der Auftragsverarbeitungsvertrag, der Teil der Vertragsbedingungen von Resend ist. Resend verarbeitet und speichert die E-⁠Mails in den USA. Inhalt und Versanddaten wie Absender, Empfänger, Zeitpunkt und Zustellstatus bewahrt Resend bis zu 30 Tage auf, Sicherungskopien höchstens 7 Tage länger.

Bestimmte Protokoll- und Nutzungsdaten verarbeitet Resend außerdem in eigener Verantwortung, um Missbrauch seines Dienstes zu verhindern. Rechtsgrundlage für diese Weitergabe ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein vor Missbrauch geschützter Versanddienst. Resend setzt seinerseits Unterauftragnehmer in den USA ein, vor allem Amazon Web Services; die aktuelle Liste veröffentlicht Resend selbst. Näheres steht in der Datenschutzerklärung von Resend.

E-⁠Mail-Postfächer bei Zoho

Unsere E-⁠Mail-Postfächer unter werkraum.studio betreibt die Zoho Corporation GmbH, II. Hagen 7, 45127 Essen. Dort gehen die E-⁠Mails aus beiden Formularen ein, ebenso alle E-⁠Mails, die Sie uns direkt schreiben. Zoho speichert die E-⁠Mails in seinen Rechenzentren in der EU (Niederlande und Irland) und ist unser Auftragsverarbeiter nach Art. 28 DSGVO; einen Auftragsverarbeitungsvertrag haben wir mit Zoho geschlossen. Zum möglichen Zugriff aus Indien siehe Abschnitt 10; Näheres steht in den Datenschutzinformationen von Zoho.

USA: Vercel, Resend und Google

Vercel Inc. und Plus Five Five, Inc. (Resend) haben ihren Sitz in den USA. Haben Sie in Google Analytics eingewilligt, kann Google Ireland Limited Daten an die Google LLC in den USA übermitteln. Für Unternehmen in den USA, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, hat die EU-Kommission mit Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 ein angemessenes Datenschutzniveau festgestellt. Alle drei Unternehmen sind zertifiziert, wie ihre Einträge in der offiziellen Liste zeigen: Vercel, Resend und Google. Die Übermittlung stützt sich daher auf Art. 45 Abs. 3 DSGVO.

Zusätzlich enthalten die Auftragsverarbeitungsverträge von Vercel und Resend die Standardvertragsklauseln der EU-Kommission nach Durchführungsbeschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO). Vercel behält sich vor, Daten auch in weiteren Ländern außerhalb der EU zu verarbeiten, in denen Vercel oder seine Unterauftragnehmer tätig sind; auch dafür gelten diese Klauseln. Beide Verträge sind online abrufbar: der Auftragsverarbeitungsvertrag von Vercel und der Auftragsverarbeitungsvertrag von Resend.

Indien: Zugriff bei Zoho

Zoho speichert unsere E-⁠Mails in der EU. Ausgewählte Mitarbeitende der Zoho-Gruppe in Indien können für Wartung und Support darauf zugreifen. Für Indien gibt es keinen Angemessenheitsbeschluss. Der Zugriff ist durch Standardvertragsklauseln der EU-Kommission innerhalb der Zoho-Gruppe abgesichert (Art. 46 Abs. 2 lit. c DSGVO); Zoho beschreibt das in einem Beitrag zum Zugriff auf Daten aus dem EU-Rechenzentrum (auf Englisch). Den Text der Standardvertragsklauseln veröffentlicht die EU-Kommission.

Ihre Rechte uns gegenüber

Sie haben das Recht auf:

• Auskunft über die Daten, die wir über Sie verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten, etwa wenn wir sie nicht mehr benötigen und keine Pflicht zur Aufbewahrung besteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung, etwa solange wir die Richtigkeit Ihrer Daten prüfen (Art. 18 DSGVO)
• Datenübertragbarkeit, also den Erhalt der Daten, die Sie uns selbst gegeben haben und die wir auf Grundlage eines Vertrags automatisiert verarbeiten, in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO, siehe Abschnitt 13)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); für Google Analytics genügt der Schalter in Abschnitt 4

Wenden Sie sich dazu formlos an info@werkraum.studio oder an unsere Anschrift in Abschnitt 2. Wir antworten unentgeltlich und unverzüglich, spätestens innerhalb eines Monats. Bei komplexen oder zahlreichen Anträgen kann sich die Frist um bis zu zwei Monate verlängern; darüber informieren wir Sie innerhalb des ersten Monats (Art. 12 Abs. 3 und 5 DSGVO).

Beschwerde bei einer Aufsichtsbehörde

Meinen Sie, dass wir Ihre Daten nicht rechtmäßig verarbeiten, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Behörde

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)

Anschrift

Häßlerstraße 8 99096 Erfurt

Postanschrift

Postfach 90 04 55 99107 Erfurt

Telefon

0361 57-3112900

E-⁠Mail

poststelle@datenschutz.thueringen.de

Website

tlfdi.de

Sie können sich auch an eine andere Aufsichtsbehörde wenden, insbesondere an die Ihres Wohnorts oder Arbeitsplatzes.

Pflicht zur Angabe von Daten

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten zu geben. Ohne die Pflichtangaben eines Formulars können wir Ihre Anfrage oder Anmeldung aber nicht bearbeiten, und für eine Buchung brauchen wir die für den Vertrag nötigen Angaben, etwa Name und Rechnungsanschrift. Ohne die technischen Verbindungsdaten aus Abschnitt 3 lässt sich die Website nicht ausliefern.

Keine automatisierte Entscheidung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die automatische Prüfung der Formulare (Abschnitt 7) entscheidet nur, ob eine Absendung zugestellt wird; Sie können uns jederzeit auch direkt schreiben.

Verschlüsselung

Diese Website wird ausschließlich verschlüsselt über HTTPS ausgeliefert; Aufrufe über http:// leiten wir auf die verschlüsselte Adresse um. Ihre Eingaben in den Formularen werden verschlüsselt an die Website übertragen, die daraus erzeugte E-⁠Mail auf dem Weg in unser Postfach in der Regel ebenfalls. E-⁠Mails, die Sie uns direkt schreiben, sind in der Regel nur auf dem Transportweg verschlüsselt und nicht Ende-zu-Ende.

Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Website, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.