Datenschutz

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Philipp Eggert

Fritz-Overbeck-Weg 1

27726 Worpswede

E-Mail: kontakt@slootwerk.de

2. Aufruf der Website: Hosting und Auslieferung

Diese Website läuft auf einem gemieteten Server der netcup GmbH in Deutschland. Beim Aufruf einer Seite werden die technischen Daten verarbeitet, die für die Auslieferung nötig sind: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge und die Browser-Kennung.

Die Auslieferung erfolgt über das Netzwerk der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare sitzt zwischen Ihrem Browser und dem Server und verarbeitet dabei Ihre IP-Adresse und die Verbindungsdaten jedes Aufrufs. Zweck ist die Auslieferung selbst sowie die Abwehr von Überlastungs- und Angriffsversuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an einer erreichbaren und gegen Angriffe geschützten Website. Cloudflare ist ein Unternehmen mit Sitz in den USA, es findet insoweit eine Übermittlung in ein Drittland statt.

3. Schutz vor Missbrauch

Um diese Website vor automatisierten Massenanfragen und Missbrauch des Formulars zu schützen, wird jede abgewiesene Anfrage protokolliert. Verarbeitet werden dabei: die IP-Adresse der Anfrage in gekürzter Form (bei IPv4 wird der letzte Zahlenblock auf 0 gesetzt, bei IPv6 alles unterhalb von /48), zusätzlich eine nicht rückrechenbare Prüfsumme der Adresse zur Erkennung von Wiederholungen, die Browser-Kennung (User-Agent), der aufgerufene Pfad und der Zeitpunkt.

Inhalte von Formularen werden dabei nicht gespeichert. Zweck ist die Erkennung und Abwehr von Missbrauch, Spam und automatisierten Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach 30 Tagen automatisch gelöscht. Sie werden nicht an Dritte weitergegeben, es werden daraus keine Profile gebildet und es werden dafür keine Cookies gesetzt.

Zusätzlich prüft ein Schutzprogramm auf dem unter Nummer 2 genannten Server jede Anfrage an diese Website automatisch auf bekannte Angriffsmuster, etwa den Versuch, Konfigurationsdateien abzurufen oder eine bekannte Sicherheitslücke auszunutzen. Eingesetzt wird dafür die quelloffene Software CrowdSec. Sie läuft ausschließlich auf diesem Server und gibt keine Daten an den Hersteller oder an andere Dritte weiter; vom Hersteller werden nur die Prüfregeln bezogen. Geprüft wird im Arbeitsspeicher. Anfragen ohne Angriffsmuster werden dabei nicht gespeichert.

Je nach Regel wird eine Anfrage mit Angriffsmuster abgewiesen oder nur gezählt. Zu jeder abgewiesenen Anfrage speichert das Programm einen Eintrag: die IP-Adresse, von der die Verbindung zum Server kommt, den Zeitpunkt, die aufgerufene Adresse, die Browser-Kennung und weitere technische Merkmale der Anfrage, die erkannte Regel und den Teil der Anfrage, der sie ausgelöst hat. Bei einem Aufruf über Cloudflare (Nummer 2) ist diese IP-Adresse eine Adresse von Cloudflare. Kommen von derselben IP-Adresse direkt, also nicht über Cloudflare, innerhalb kurzer Zeit mehrere Anfragen mit Angriffsmustern, werden weitere Anfragen von ihr eine Stunde lang abgewiesen. Zweck ist die Abwehr von Angriffen auf diese Website und auf die bei ihr gespeicherten Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach spätestens sieben Tagen automatisch gelöscht.

4. Kontaktaufnahme über das Formular

Wenn Sie das Formular auf dieser Website absenden, werden die dort eingegebenen Angaben (Name, Verband, E-Mail-Adresse sowie, falls Sie sie angeben, Telefonnummer, Wunschtermin und Nachricht) per E-Mail an den Verantwortlichen übermittelt und dort zur Beantwortung Ihrer Anfrage verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag zielt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an der Beantwortung von Anfragen.

Über jeden Versand wird ein technisches Protokoll gespeichert. Es enthält die Empfängeradresse, den Betreff, den Status des Versands, die Absenderadresse des Systems und den technischen Dialog mit dem Mailserver, aus dem Zugangsdaten und Inhalte vor dem Speichern entfernt werden. Der Betreff lautet „Anfrage von" gefolgt von dem Namen, den Sie angegeben haben, und enthält damit diesen Namen.

Der Text Ihrer Nachricht wird in diesem Protokoll nicht gespeichert. Das Protokoll dient dem Nachweis, dass eine Anfrage angekommen und zugestellt worden ist, und der Fehlersuche, wenn eine Zustellung scheitert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach 90 Tagen automatisch gelöscht.

Die E-Mail selbst geht anschließend den Weg jeder E-Mail: sie wird über den Mailserver des Anbieters versendet und liegt danach im Postfach des Verantwortlichen, wo sie so lange aufbewahrt wird, wie es für die Bearbeitung Ihrer Anfrage und etwaige gesetzliche Aufbewahrungspflichten erforderlich ist.

5. Kundenportal

Verbände, die Slootwerk nutzen, erhalten einen Zugang zum Kundenportal unter slootwerk.de/konto. Dort stehen die Angaben zum Verband und zu seinen Ansprechpersonen, die Verträge und Unterlagen sowie die Dateien, die beide Seiten austauschen. Einen Zugang richtet der Verantwortliche ein und lädt die Person per E-Mail dazu ein. Angaben zu Ansprechpersonen ohne eigenen Zugang stammen vom Verband.

Zu jedem Zugang werden Name, E-Mail-Adresse, Verband, Rolle (Leitung oder Ansicht) und Status gespeichert, dazu die Zeitpunkte der Einladung, ihrer Annahme und der letzten Anmeldung sowie die Angabe, ob der Zugang Rundschreiben per E-Mail erhält. Jedes Rundschreiben enthält einen Link zum Abbestellen.

Angemeldet wird ohne Passwort, mit einem sechsstelligen Code, der an die E-Mail-Adresse des Zugangs geht. Er gilt zehn Minuten und für höchstens fünf Versuche. Einladungen und manche Benachrichtigungen enthalten einen persönlichen Link, der höchstens sieben Tage gilt. Von Codes und diesen Links wird nur eine Prüfsumme gespeichert. Die eines Links wird einen Tag nach Ablauf oder Benutzung automatisch gelöscht, die eines Codes beim nächsten Code überschrieben. Nach der Anmeldung hält ein technisch notwendiges Cookie die Sitzung (Nummer 7). Zu viele Anmeldeversuche werden wie unter Nummer 3 beschrieben abgewiesen und protokolliert.

Das Portal protokolliert, wer wann welche Aktion ausgeführt hat, etwa eine Einladung, das Hochladen einer Datei oder eine Unterschrift. Das Protokoll enthält keine IP-Adressen und keine eingegebenen Inhalte und wird nach 365 Tagen automatisch gelöscht. Für jede E-Mail des Portals entsteht außerdem das unter Nummer 4 beschriebene Versandprotokoll.

Stimmt eine berechtigte Person im Portal einer Unterlage zu, wird das als Nachweis gespeichert: Name, E-Mail-Adresse, Verband, Titel, Fassung und Prüfsumme der Unterlage, der Wortlaut der Erklärung, der Zeitpunkt, die IP-Adresse und die Browserkennung. Ein solcher Nachweis bleibt mindestens bis drei Jahre nach Ende des Vertrags erhalten und wird erst nach einer Prüfung im Einzelfall gelöscht.

Schaltet ein Zugang auf einem Gerät Benachrichtigungen ein, werden die technische Zustelladresse des Browsers, ein Name für das Gerät und die gewählten Ereignisse gespeichert. Zugestellt wird über den Benachrichtigungsdienst des Browserherstellers. Eine Benachrichtigung sagt nur, dass es im Portal etwas Neues gibt. Rechtsgrundlage ist die Einwilligung beim Einschalten (Art. 6 Abs. 1 lit. a DSGVO), die sich in den Einstellungen des Portals jederzeit widerrufen lässt.

Rechtsgrundlage für die übrigen Daten im Portal ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind, im Übrigen Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse, den Vertrag mit dem Verband durchzuführen und nachweisen zu können sowie den Verband über Slootwerk zu informieren. Für das Protokoll gilt Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an einem nachvollziehbaren und gegen Missbrauch geschützten Portal.

Die Daten des Portals liegen in der Datenbank der Website auf dem unter Nummer 2 genannten Server. Verträge, Unterlagen und ausgetauschte Dateien liegen in einem privaten Dateispeicher der unter Nummer 2 genannten Cloudflare, Inc. mit Speicherort in der EU. Die Dateien eines Verbands können nur die für diesen Verband angemeldeten Personen und der Verantwortliche abrufen.

6. Elektronische Unterschrift

Verträge über Slootwerk werden elektronisch unterschrieben, auch bevor es einen Zugang zum Kundenportal gibt. Jeder Vertrag wird für sich unterschrieben, etwa der Auftragsverarbeitungsvertrag mit seinen Anlagen und die Pilotvereinbarung, und kommt mit eigener E-Mail und als eigenes Dokument. Die unterschreibende Person erhält einen persönlichen Link per E-Mail, bestätigt ihre Adresse mit einem sechsstelligen Code, bestätigt, dass sie für den Verband unterschreiben darf, und unterschreibt mit ihrem getippten Namen. Eine gezeichnete Unterschrift ist zusätzlich möglich und freiwillig. Von Link und Code wird nur eine Prüfsumme gespeichert. Zweck ist der Nachweis, wer welches Dokument wann unterschrieben hat.

Vor der Unterschrift prüft die unterschreibende Person einmal die Angaben zum Verband, die in den Vertrag eingesetzt werden, etwa Name, Anschrift, Vertretung und die Ansprechperson für den Datenschutz, und ergänzt, was fehlt. Außerdem bestätigt sie die gebuchten Leistungen. Meldet sie, dass etwas nicht stimmt, wird daraus eine Anfrage an den Verantwortlichen. Wer nicht unterschreiben möchte, kann das mit einem freiwilligen Grund mitteilen; auch das erfährt der Verantwortliche.

Gespeichert werden der getippte Name, die bestätigte E-Mail-Adresse, der Verband, der Satz zur Berechtigung im Wortlaut, die Prüfsumme des Dokuments, die Zeitpunkte der Code-Bestätigung und der Unterschrift, die IP-Adresse, die Browserkennung, eine Zeichnung, falls eine angelegt wurde, und das unterschriebene Dokument selbst. Dokument, Zeichnung und die versiegelte PDF-Datei liegen im privaten Dateispeicher (Nummer 5), die übrigen Angaben in der Datenbank der Website.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den Abschluss des Vertrags und Art. 6 Abs. 1 lit. f DSGVO: das berechtigte Interesse an einem verlässlichen Nachweis der Unterschrift. Die Aufbewahrung danach stützt sich auf Art. 17 Abs. 3 lit. e DSGVO, weil der Nachweis zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen gebraucht werden kann.

Haben alle unterschrieben, erhält das Dokument eine Nachweisseite, ein elektronisches Siegel und einen Zeitstempel. Diese versiegelte PDF-Datei geht per E-Mail an alle Personen, die dasselbe Dokument unterschrieben haben, und an den Verantwortlichen. Die Nachweisseite zeigt von jeder unterschreibenden Person Name, Verband, E-Mail-Adresse, den Satz zur Berechtigung, die Zeitpunkte von Code-Bestätigung und Unterschrift und die Unterschrift selbst. IP-Adresse und Browserkennung stehen nicht darin, sie bleiben im Nachweis in der Datenbank. Den Zeitstempel stellt der Zeitstempeldienst von Sectigo aus. Dorthin geht nur eine Prüfsumme der Signatur, aus der sich weder eine Person noch der Inhalt des Dokuments erkennen lässt.

Ist unterschrieben worden, werden diese Daten wie der Vertrag selbst aufbewahrt, mindestens zehn Jahre ab der Unterschrift. Hat niemand unterschrieben, weil die Anfrage abgelaufen ist oder zurückgezogen wurde, beträgt die Frist sechs Monate. Gelöscht wird in beiden Fällen nach einer Prüfung im Einzelfall.

7. Cookies

Diese Website setzt keine Cookies zu Werbe- oder Analysezwecken. Gesetzt werden nur Cookies, die technisch notwendig sind:

ein Cookie, das Ihre Auswahl im Einwilligungsbanner festhält, damit die Frage nicht bei jedem Aufruf erneut gestellt wird. Es enthält nur Ihre Auswahl selbst und bleibt sechs Monate bestehen. Sie können Ihre Auswahl jederzeit über die Schaltfläche „Cookie-Einstellungen" im Fußbereich der Seite ändern oder widerrufen.

Solange sich diese Website im Vorschaubetrieb befindet, kann außerdem ein Cookie gesetzt werden, wenn Sie einem geteilten Vorschaulink gefolgt sind. Es enthält ausschließlich die Kennung dieses Links und sorgt dafür, dass Sie die Seiten weiter aufrufen können, ohne den Link jedes Mal erneut zu verwenden. Es wird nach einem Jahr ungültig und ist für den normalen Besuch der Website ohne Bedeutung.

Wer sich im Kundenportal anmeldet (Nummer 5), erhält außerdem das Anmelde-Cookie „payload-token“. Es hält die Anmeldung und gilt höchstens 14 Tage oder bis zur Abmeldung. Ohne Anmeldung wird es nicht gesetzt, auch nicht beim elektronischen Unterschreiben (Nummer 6).

Auf den Seiten des Kundenportals richtet der Browser außerdem einen sogenannten Service Worker ein, ein kleines Programm dieser Website. Er zeigt einen Hinweis, wenn keine Verbindung besteht, und stellt Benachrichtigungen zu, wenn ein Zugang sie eingeschaltet hat. Inhalte des Portals legt er nicht auf Ihrem Gerät ab.

Das Cookie für Ihre Auswahl im Einwilligungsbanner steht am Ende dieser Seite noch einmal in einer Tabelle, mit Name, Zweck, Art und Dauer.

8. Schriften, Karten und externe Inhalte

Alle Schriftarten dieser Website liegen auf dem eigenen Server und werden von dort ausgeliefert. Es besteht dabei keine Verbindung zu Google Fonts oder einem anderen externen Schriftendienst. Die Karte im Abschnitt zu den Lösungen ist eine fest eingebaute Grafik mit Beispieldaten und ruft keinen Kartendienst auf. Über die unter Nummer 2 genannte Auslieferung hinaus werden beim Aufruf dieser Website keine Inhalte von Servern Dritter nachgeladen.

9. Reichweitenmessung

Auf dieser Website findet derzeit keine Reichweitenmessung statt. Es ist kein Analysewerkzeug aktiv, es werden keine Besuche gezählt und es wird kein Nutzungsverhalten ausgewertet.

10. Ihre Rechte

Sie haben das Recht auf Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) und auf Datenübertragbarkeit (Art. 20 DSGVO).

Soweit eine Verarbeitung auf einem berechtigten Interesse beruht (Art. 6 Abs. 1 lit. f DSGVO), haben Sie das Recht, dieser aus Gründen zu widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Für alle diese Anliegen genügt eine formlose Nachricht an die unter Nummer 1 genannte Adresse.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

12. Stand und Änderungen

Diese Datenschutzerklärung beschreibt den Stand der Website bei ihrer Veröffentlichung. Wenn sich die Verarbeitung ändert, etwa weil eine neue Funktion hinzukommt, wird dieser Text entsprechend angepasst.