Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen verständlichen und lückenlosen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer nachstehend aufgeführten Datenschutzerklärung.

Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website gemäß Art. 4 Nr. 7 DSGVO ist die Malutiwa GbR, Hadolfinger Straße 47, 72108 Rottenburg am Neckar, E-Mail: info@malutiwa.com, vertreten durch ihre Gesellschafter:

Timo Wagner

Gesellschafter

Hadolfinger Straße 47

72108 Rottenburg am Neckar

Deutschland

E-Mail: info@malutiwa.com

Luca Mailänder

Gesellschafter

Erlenweg 7

72218 Wildberg

Deutschland

E-Mail: info@malutiwa.com

2. Maßgebliche Rechtsgrundlagen & TDDDG

Nach Maßgabe des Art. 13 DSGVO teilen wir Ihnen die Rechtsgrundlagen unserer Datenverarbeitungen mit:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO & § 25 Abs. 1 TDDDG): Sofern Sie uns Ihre Einwilligung für bestimmte Verarbeitungen (z.B. die optionale Besucherstatistik) erteilt haben.
• Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 lit. b DSGVO): Für Verarbeitungen zur Erfüllung eines Vertrages mit Ihnen oder zur Durchführung vorvertraglicher Maßnahmen (z.B. Angebotserstellung, Projektumsetzung, Zahlungsabwicklung).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Für Verarbeitungen, die zur Erfüllung gesetzlicher Pflichten (z.B. steuer- und handelsrechtliche Aufbewahrungspflichten nach HGB und AO) erforderlich sind.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO & § 25 Abs. 2 TDDDG): Für Verarbeitungen zur Wahrung unserer berechtigten wirtschaftlichen, technischen und organisatorischen Interessen (z.B. sicherer Betrieb der Website, Server-Logs, IT-Sicherheit, Betrugsprävention).

3. Hosting & Technische Bereitstellung

Unsere Webseiteninhalte und digitalen Systeme werden derzeit primär auf den Servern der ALL-INKL.COM – Neue Medien Münnich in der Bundesrepublik Deutschland betrieben:

ALL-INKL.COM – Neue Medien Münnich (Inhaber: René Münnich)

Hauptstraße 68, 02742 Friedersdorf, Deutschland

Betrieb in Rechenzentren in Dresden und Friedersdorf (Deutschland); das Webhosting erfolgt ausschließlich auf Datenspeichern in Deutschland.

Als genehmigter Unterauftragsverarbeiter von ALL-INKL.COM stellt die Neue Medien Münnich GmbH (Bautzener Straße 56, 02742 Neusalza-Spremberg, Deutschland) Personal und Rechentechnik bereit. Mit ALL-INKL.COM besteht ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 und 4 DSGVO auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/915).

Flexibilität der Server-Infrastruktur & künftige Anpassungen:

Die Bereitstellung erfolgt aktuell über ALL-INKL.COM. Zur kontinuierlichen Leistungs- und Skalierungsoptimierung oder zur Umsetzung spezifischer Mandanten- und Cloud-Architekturen behalten wir uns vor, den Hosting-Dienstleister oder Serverstandorte künftig anzupassen, zu erweitern oder zu wechseln. Im Falle eines Anbieterwechsels wird zu jedem Zeitpunkt sichergestellt, dass ausschließlich zertifizierte Rechenzentren innerhalb der Europäischen Union bzw. des EWR mit einem gleichwertig hohen Datenschutz- und Sicherheitsniveau gemäß Art. 28 DSGVO beauftragt werden.

Der Hosting-Anbieter verarbeitet technische Protokolldaten (Server-Logfiles), die beim Besuch unserer Website automatisch übermittelt werden (IP-Adresse, Browsertyp, Betriebssystem, Referrer URL, Zeitstempel des Zugriffs). Die Speicherdauer beträgt maximal 7 bis 14 Tage zu Sicherheits- und Fehleranalyse-Zwecken. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren, stabilen und fehlerfreien Bereitstellung unseres Onlineangebots). Verarbeitet werden außerdem Inhaltsdaten dieser Website sowie Übermittlungen aus unseren Formularen und, soweit genutzt, E-Mail-Postfächer. Rechtsgrundlage ist daneben Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit ALL-INKL.COM wurde ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO geschlossen.

4. Ihre Rechte als betroffene Person & Beschwerderecht

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit detaillierte Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht auf unverzügliche Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer bei uns gespeicherten Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Datenverarbeitung verlangen, wenn die Richtigkeit bestritten wird oder die Verarbeitung unrechtmäßig ist.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können verlangen, Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einzulegen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft formlos widerrufen.

Die Angabe Ihrer Daten ist für Anfragen und Verträge erforderlich, sonst können wir sie nicht bearbeiten. Eine automatisierte Entscheidungsfindung einschließlich Profiling findet nicht statt. Zu Werbezwecken verwenden wir Ihre Daten nicht; sollten wir das künftig tun, können Sie dem jederzeit widersprechen (Art. 21 Abs. 2 DSGVO). Empfänger Ihrer Daten sind je nach Vorgang unser Hosting- und E-Mail-Anbieter, Stripe (Zahlungen), Google (Firebase, Ziffer 8) und, nur im internen Bereich, Google Gemini (Ziffer 7c).

Beschwerderecht bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO)

Im Falle von Verstößen gegen das Datenschutzrecht steht Ihnen ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde zu. Die für unseren Sitz in Baden-Württemberg zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Lautenschlagerstraße 20, 70173 Stuttgart
Telefon: 0711/61 55 41-0 | E-Mail: poststelle@lfdi.bwl.de
Website: https://www.baden-wuerttemberg.datenschutz.de

5. Cookies & Zugriff auf Endgeräte (§ 25 TDDDG)

Unsere Internetseiten verwenden sogenannte „Cookies“ sowie Speichertechnologien im Browser (z.B. LocalStorage / SessionStorage).

Technisch notwendige Funktionen (§ 25 Abs. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO): Einige Cookies und Speichereinträge sind zwingend erforderlich, um Ihnen die grundlegenden Funktionen unserer Website (wie Cookie-Consent-Status, IT-Sicherheit, Authentifizierung) bereitzustellen. Konkret sind das: Ihre Auswahl zur Statistik (malutiwa_cookie_prefs), Ihre Angabe, ob Sie als Privat- oder Geschäftskunde unterwegs sind, damit wir die passenden Preise zeigen (malutiwa_audience), ob Sie die Begrüßungsanimation und den Preis-Hinweis schon gesehen haben (malutiwa_welcomed, malutiwa_audhint) sowie Ihre Farbwahl hell/dunkel (malutiwa_theme), jeweils im lokalen Speicher Ihres Browsers; außerdem für die Dauer des Besuchs ein Empfehlungscode aus einem Link, falls vorhanden (malutiwa_ref, wird mit einer Anfrage an uns übermittelt), im Sitzungsspeicher. Im Kundenkonto kommt das Anmelde-Cookie hinzu (Ziffer 7b). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Optionale Analyse- & Marketing-Technologien (§ 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO): Nicht notwendige Verarbeitungen (unsere eigene Besucherstatistik, Ziffer 10a) finden ausschließlich dann statt, wenn Sie im Hinweis ausdrücklich zugestimmt haben. Sie können Ihre Einstellungen jederzeit mit Wirkung für die Zukunft anpassen oder widerrufen.

6. Kontaktformular, Projektanfragen & E-Mail-Kontakt

Wenn Sie uns per Kontaktformular oder E-Mail Anfragen zukommen lassen, werden Ihre Angaben aus dem Anfrageformular inklusive der von Ihnen dort angegebenen Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Firmenname, Budgetvorstellung, Leistungsanforderungen) zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert.

Haben Sie zuvor den Preisfinder auf der Preisseite genutzt, speichern wir Ihre Auswahl (z. B. „Geschäftlich · Mittel · Fahrschule“) nur kurzzeitig in Ihrem Browser (Sitzungsspeicher) und hängen sie an Ihre Anfrage an, sobald Sie das Kontaktformular selbst absenden. So können wir Ihnen von Beginn an ein passendes Angebot machen. Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Ohne Absenden verlässt Ihre Auswahl Ihren Browser nicht.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags oder vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer schnellen und zielgerichteten Beantwortung von Kundenanfragen).

Speicherort: Anfragen über die Formulare der Website (Kontakt, Probeentwurf, Website-Check, Erstgespräch) und bezahlte Bestellungen werden per E-Mail an uns gesendet und zusätzlich in unserer Datenbank Google Cloud Firestore (Ziffer 8) sowie in der Kundenakte auf unserem Server (Ziffer 7a) gespeichert. Sie erhalten eine Eingangsbestätigung per E-Mail. Wir löschen die Daten, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Website-Check: Wenn Sie den kostenlosen Website-Check nutzen, ruft unser Server die von Ihnen angegebene, öffentlich erreichbare Adresse auf und wertet Technik, Ladezeit und Sicherheit aus. Den Bericht senden wir an Ihre E-Mail-Adresse; Name, E-Mail und Adresse speichern wir wie eine Anfrage.

Erstgespräch buchen: Bei einer Terminbuchung verarbeiten wir Name, E-Mail, Telefonnummer (bei Telefontermin), Termin und Thema. Bei einem Video-Termin senden wir Ihnen den Link vorab per E-Mail und nennen Ihnen dabei den genutzten Dienst.

Schutz vor Missbrauch: Um massenhafte automatisierte Anfragen zu verhindern, zählt unser Server Anfragen pro IP-Adresse kurzzeitig (höchstens wenige Stunden) und speichert die IP-Adresse dafür nur als Hashwert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit unserer Systeme).

Kündigung und Widerruf über die Website: Nutzen Sie „Verträge hier kündigen“ oder „Vertrag hier widerrufen“, verarbeiten wir Ihre Angaben (Name, E-Mail, Vertrag, Zuordnungsnummer, Zeitpunkt), um Ihre Erklärung zu bearbeiten und Ihnen den Eingang zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO). Die Erklärung bewahren wir als Nachweis bis zum Ablauf der gesetzlichen Fristen auf.

6a. Extras-Anfragen, WhatsApp, Instagram und lokale Speicherung

Extras-Anfrage (Probeentwurf): Wenn Sie über das Formular einen kostenlosen Probeentwurf anfragen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Beschreibung, um Ihre Anfrage zu bearbeiten und Ihnen den Entwurf zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Die Daten werden gelöscht, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungspflichten bestehen.

WhatsApp: Der WhatsApp-Button ist ein einfacher Link. Erst wenn Sie ihn anklicken, öffnet sich WhatsApp (Meta Platforms Ireland Ltd.). Vorher werden keine Daten an WhatsApp übertragen. Ab dem Klick gelten die Datenschutzbestimmungen von WhatsApp.

Instagram: Der Link zu unserem Profil ist ein einfacher Link ohne eingebettete Inhalte. Erst nach dem Klick werden Daten an Instagram (Meta Platforms Ireland Ltd.) übertragen.

Lokale Speicherung: Welche Einträge wir im Speicher Ihres Browsers ablegen, steht vollständig in Ziffer 5.

7. Datenverarbeitung im internen CRM & Workspace (Malutiwa OS)

Zur professionellen Projektsteuerung, CI-Vorgabenverwaltung, Rechnungsstellung und Auftragsverfolgung betreiben wir eine geschützte interne Plattform (Malutiwa OS).

Darin verarbeiten wir Kundenstammdaten, Projektspezifikationen, Designentwürfe und Kommunikationsverläufe. Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (effiziente Organisation von Entwicklungsworkflows). Alle Datenübertragungen erfolgen TLS-verschlüsselt. Zugriff haben nur die Gesellschafter über ihre persönlichen, freigegebenen Konten.

Im internen Bereich melden sich die Gesellschafter über die Google-Anmeldung (Firebase Authentication) an; die Firebase-Skripte werden dazu von www.gstatic.com (Google) geladen. In der Website-Übersicht werden Favicons über den Google-Dienst www.google.com/s2/favicons und Vorschaubilder über den WordPress-Dienst mShots (s0.wp.com, Automattic Inc., USA) abgerufen; dabei wird die Adresse der angezeigten Kundenwebsite übermittelt. Das geschieht nur im internen Bereich, nicht beim Besuch dieser Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

7a. Digitale Kundenakte und E-Mail-Archiv

Damit wir Anfragen, Angebote, Zahlungen und den Schriftverkehr mit Ihnen vollständig und nachvollziehbar dokumentieren können, führen wir für jede Anfrage eine digitale Kundenakte. Sie wird auf unserem Webserver bei ALL-INKL.COM (Hauptstraße 68, 02742 Friedersdorf, Rechenzentrum in Deutschland) gespeichert. Unser E-Mail-Postfach liegt ebenfalls bei ALL-INKL.COM. Mit ALL-INKL.COM besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Anfragen und Bestellungen liegen zusätzlich in unserer Datenbank (Ziffer 6 und 8).

Gespeichert werden die Angaben aus Ihrer Anfrage oder Bestellung (Name, Firma, E-Mail, Telefon, Nachricht, gewähltes Paket, Zahlungsstatus, Rechnungen) sowie E-Mails, die Sie mit uns austauschen, einschließlich Anhängen. E-Mails von Absendern, die keine Anfrage gestellt haben, werden nicht in einer Akte abgelegt. Der Zugriff ist auf die Gesellschafter beschränkt und durch Anmeldung geschützt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage, Vertragsanbahnung und -durchführung), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten nach HGB und AO) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer geordneten, nachweisbaren Kundenkommunikation).

Speicherdauer: Kommt kein Auftrag zustande, wird die Kundenakte automatisch 12 Monate nach dem letzten Kontakt gelöscht. Bei Aufträgen bewahren wir Handels- und Geschäftsbriefe 6 Jahre sowie Rechnungen und Buchungsbelege 8 Jahre auf (§ 257 HGB, § 147 AO); danach werden die Daten gelöscht. Sie können jederzeit Auskunft verlangen und – soweit keine Aufbewahrungspflicht besteht – die Löschung.

Benachrichtigungen an unsere Geräte: Über neue Anfragen, Termine, Zahlungen und E-Mails informieren wir uns intern per Push-Benachrichtigung auf unseren eigenen Geräten. Dabei werden nur Name und Betreff übermittelt, Ende-zu-Ende-verschlüsselt (RFC 8291) über die Push-Dienste der Gerätehersteller (Google, Apple, Mozilla oder Microsoft); diese können den Inhalt nicht lesen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (schnelle Bearbeitung Ihrer Anfrage).

7b. Kundenkonto (Kundenbereich unter malutiwa.com/konto)

Für unsere Kundinnen und Kunden stellen wir einen passwortgeschützten Kundenbereich bereit. Dort sehen Sie den Stand Ihres Projekts, Angebote, Rechnungen, Zahlungsbelege und Dokumente, die Erreichbarkeit Ihrer Website und können uns Nachrichten senden. Ein Kundenkonto richten ausschließlich wir im Rahmen einer Geschäftsbeziehung ein. Die Nutzung ist freiwillig und keine Voraussetzung für einen Vertrag mit uns.

Verarbeitete Daten: E-Mail-Adresse (Anmeldename), Name und Firma; Ihr Passwort ausschließlich als kryptografischer Hashwert (wir kennen Ihr Passwort nicht und können es nicht herausgeben); Projekt- und Vertragsdaten aus unserem CRM (Projektphase, Website-Adresse, Angebote, Rechnungen einschließlich PDF); Dokumente aus Ihrer Kundenakte (Anfrage, Angebote, Zahlungsbestätigungen, Rechnungen, siehe Ziffer 7a); Nachrichten, die Sie uns über das Kundenkonto senden (sie erreichen uns per E-Mail und werden in der Kundenakte vermerkt).

Nachweis Ihrer Zustimmung: Vor der Anmeldung bitten wir Sie, unsere AGB und diese Datenschutzerklärung zu bestätigen. Zum Nachweis (Art. 6 Abs. 1 lit. f DSGVO, Beweisführung bei Streitigkeiten) speichern wir Zeitpunkt, Version der Texte (Prüfsumme), gekürzte IP-Adresse und Gerätekennung in Ihrem Kundenkonto und in Ihrer Kundenakte; die Aufbewahrung richtet sich nach Ziffer 7a.

Zahlungsdaten: Haben Sie bei uns über Stripe bezahlt oder ein Abo (Hosting & Wartung) abgeschlossen, rufen wir beim Öffnen des Kundenkontos Ihre Stripe-Rechnungen und den Abo-Status über die Schnittstelle von Stripe ab (Zuordnung über Ihre E-Mail-Adresse und die bei Ihrer Bestellung gespeicherte Stripe-Kundennummer) und zeigen sie Ihnen an; das Ergebnis wird höchstens 10 Minuten zwischengespeichert. Über „Zahlungsart & Abo verwalten“ werden Sie auf eine Seite von Stripe weitergeleitet. Zu Stripe siehe Ziffer 10.

Website-Status: Ist Ihre Website-Adresse hinterlegt, ruft unser Server diese öffentlich erreichbare Adresse automatisch auf und speichert Erreichbarkeit, Antwortzeit und Ablaufdatum des SSL-Zertifikats (höchstens 30 Minuten zwischengespeichert). Personenbezogene Daten von Besuchern Ihrer Website werden dabei nicht erhoben.

Sicherheitsprotokoll: Zum Schutz Ihres Kontos vor Missbrauch (Art. 32 DSGVO) protokollieren wir Anmeldungen, Fehlversuche, Passwortänderungen und vergleichbare Ereignisse mit Zeitpunkt, Browser- und Betriebssystemtyp sowie der gekürzten IP-Adresse (IPv4: letzter Block entfernt; IPv6: nur die ersten drei Blöcke). Sie sehen dieses Protokoll selbst im Kundenkonto. Einträge werden nach 90 Tagen automatisch gelöscht. Zur Begrenzung von Anmeldeversuchen wird Ihre IP-Adresse zusätzlich kurzzeitig nur als Hashwert verarbeitet. Nach fünf falschen Passwörtern wird das Konto für 15 Minuten pausiert.

Sitzungs-Cookie: Nach der Anmeldung setzen wir ein Cookie (__Host-mw_konto) mit einer zufälligen Sitzungskennung. Es ist nur über HTTPS und nicht für Skripte lesbar (Secure, HttpOnly, SameSite=Strict). Die Sitzung endet bei Abmeldung, nach 2 Stunden ohne Aktivität, spätestens nach 24 Stunden, oder, wenn Sie „Angemeldet bleiben“ wählen, nach 30 Tagen. Das Cookie ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Im Kundenkonto setzen wir keine Analyse- oder Marketing-Dienste ein.

E-Mails: Für Einladung, Zugangsdaten, „Passwort vergessen“ und als Sicherheitshinweis nach einer Passwortänderung senden wir Ihnen E-Mails. Links zum Festlegen eines Passworts sind nur einmal nutzbar und 60 Minuten (Zurücksetzen) bzw. 7 Tage (Einladung) gültig. Wir fragen Sie niemals per E-Mail oder Telefon nach Ihrem Passwort.

Speicherort und Empfänger: Alle Daten des Kundenkontos liegen auf unserem Webserver bei ALL-INKL.COM in Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO, siehe Ziffer 3 und 7a). Zugriff haben nur die Gesellschafter. Eine Weitergabe an Dritte findet nicht statt, außer an Stripe wie oben beschrieben.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags und Bereitstellung des Kundenkontos), Art. 6 Abs. 1 lit. f DSGVO (Sicherheitsprotokoll und Missbrauchsschutz; unser berechtigtes Interesse ist die Sicherheit Ihres Kontos und unserer Systeme) sowie Art. 6 Abs. 1 lit. c DSGVO (Aufbewahrung von Rechnungen).

Speicherdauer und Löschung: Die Daten des Kundenkontos speichern wir, solange das Konto besteht. Sie können Ihr Kundenkonto jederzeit selbst unter „Konto“ löschen; Zugang, Sitzungen, Sicherheitsprotokoll und die Daten im Konto werden dann sofort entfernt. Nach Ende der Geschäftsbeziehung löschen wir das Konto auf Wunsch oder spätestens, wenn es nicht mehr benötigt wird. Rechnungen und Vertragsunterlagen in der Kundenakte unterliegen weiterhin den gesetzlichen Aufbewahrungsfristen (Ziffer 7a).

Ihre Rechte: Im Kundenkonto können Sie unter „Konto“ jederzeit eine Kopie Ihrer dort gespeicherten Daten als Datei herunterladen (Art. 15, Art. 20 DSGVO), eine Berichtigung anfragen oder Ihr Konto löschen. Ihre weiteren Rechte finden Sie unter Ziffer 4.

7c. Interner KI-Assistent „Malu“ (nur Gesellschafter)

Im internen Bereich (Malutiwa OS) nutzen die Gesellschafter einen KI-Assistenten, der Fragen zu unseren Geschäftsdaten beantwortet (z. B. offene Rechnungen, Umsatz, Termine) und Rechtsfragen recherchiert. Er liest nur Daten; Aufgaben legt er erst nach Bestätigung durch den Nutzer an, E-Mails entwirft er nur und sendet sie nie selbst. Der Gesprächsverlauf wird bis zu 12 Stunden lokal im Browser des Nutzers gespeichert und lässt sich mit „neues Gespräch“ löschen. Besucher dieser Website und Kunden kommen damit nicht in Berührung.

Die Anfragen gehen über unseren Server an die Gemini-Schnittstelle von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Muttergesellschaft Google LLC, USA). Namen und E-Mail-Adressen unserer Kunden werden zuvor durch Platzhalter ersetzt. Kontaktdaten sowie Titel von Aufgaben und Terminen übermitteln wir nicht; übermittelt werden Geschäftskennzahlen wie Beträge, Daten und Status. Zusätzlich fasst der Assistent auf Wunsch ungelesene E-Mails zusammen: Dafür wird der gekürzte Text der Nachricht übermittelt, wobei Absender, bekannte Kundennamen, E-Mail-Adressen, Telefonnummern, IBAN und Anschriften zuvor durch Platzhalter ersetzt werden. Im Freitext einer E-Mail können weitere Personenangaben stehen, die nicht erkannt werden. Rechtsfragen stellen wir ohne Kundendaten. Für die Recherche kann Google zusätzlich öffentliche Webseiten abrufen. Wir nutzen derzeit das kostenlose Kontingent der Schnittstelle; dabei darf Google die Eingaben nach seinen Nutzungsbedingungen zur Verbesserung seiner Produkte auswerten, auch durch geschulte Mitarbeiter. Deshalb enthalten die Eingaben keine Namen, E-Mail-Adressen oder sonstigen Kontaktdaten. Der Zugang ist auf unsere Gesellschafter beschränkt, der Zugangsschlüssel liegt verschlüsselt auf unserem Server.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (effiziente interne Organisation). Eine Übermittlung in die USA ist über das EU-U.S. Data Privacy Framework und EU-Standardvertragsklauseln abgesichert (siehe Ziffer 8). Die KI trifft keine Entscheidungen über Personen.

8. Cloud-Infrastruktur & Google Firebase (Drittlandübermittlung)

Für sichere Datenbanken (Firestore) und Authentifizierung nutzen wir Dienste von Google Firebase (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland / Muttergesellschaft: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA).

Die Speicherung erfolgt primär in europäischen Cloud-Rechenzentren (Region europe-west2 / UK). Für das Vereinigte Königreich liegt ein offizieller Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO vor. Soweit Daten in die USA übertragen werden, erfolgt die Drittlandübermittlung auf Grundlage des EU-U.S. Data Privacy Framework (DPF), nach welchem Google zertifiziert ist, sowie auf Basis von EU-Standardvertragsklauseln (Standard Contractual Clauses – SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

9. Künstliche Intelligenz (im Kundenauftrag und interner Assistent)

Auf dieser Website und im Kundenkonto werden keine KI-Dienste eingesetzt. Unseren internen Assistenten beschreibt Ziffer 7c. Binden wir im Kundenauftrag auf Wunsch Schnittstellen zu KI-Anbietern ein (z.B. Google Gemini, OpenAI oder Anthropic), ist der Kunde für die Verarbeitung verantwortlich (siehe Ziffer 12 und AGB § 5.3). Die Datenschutzhinweise des jeweiligen Anbieters gelten dann ergänzend.

10. Zahlungsabwicklung über Stripe

Für sichere Online-Zahlungen nutzen wir Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (Muttergesellschaft: Stripe Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA).

Beim Bezahlvorgang werden die von Ihnen angegebenen Zahlungsdaten (z.B. Kreditkartennummer oder bei SEPA-Lastschrift die IBAN, dazu die Rechnungsadresse, bei Zahlung per Apple Pay oder Google Pay die dort freigegebenen Zahlungsdaten) über eine verschlüsselte Verbindung direkt an Stripe übermittelt. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Stripe ist nach PCI-DSS Level 1 zertifiziert. Etwaige Datenübertragungen an die Stripe Inc. in die USA sind über das EU-U.S. Data Privacy Framework (DPF) und EU-Standardvertragsklauseln (SCCs) rechtskonform abgesichert. Bei der Weiterleitung auf die Seiten von Stripe (z.B. Bezahlseite oder Kundenportal) gelten dort die Datenschutzhinweise und Cookies von Stripe. Bestellen Sie ein Hosting-Abo, zahlen Sie bei der Bestellung nur den Festpreis. Während des technischen Einrichtungs- und Vorschaltzeitraums von bis zu 30 Tagen (AGB § 9.6) hinterlegen und autorisieren Sie über Stripe Ihr Zahlungsmittel (SEPA-Lastschrift, Karte, Apple Pay, Google Pay); in dieser Zeit wird für das Abo nichts abgebucht. Mit Livegang Ihrer Website oder spätestens nach Ablauf des Zeitraums starten wir die wiederkehrende Abrechnung in Stripe, und der Betrag wird über das hinterlegte Zahlungsmittel eingezogen. Dazu speichern wir die von Stripe vergebene Kunden- und Abo-Nummer in unserem System (Malutiwa OS), um Rechnungen und Abo-Status Ihrem Kundenkonto zuzuordnen. Stripe verarbeitet Zahlungsdaten außerdem zur Betrugsprävention und zur Abwicklung von Rücklastschriften (Art. 6 Abs. 1 lit. b und lit. f DSGVO). Weitere Informationen finden Sie in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy .

10a. Eigene Besucherstatistik (ohne Cookies)

Nur wenn Sie zustimmen („Ja, gern“ im Hinweis bzw. Kategorie „Statistik“ in den Einstellungen), zählen wir mit einem eigenen Skript auf unserem Server bei ALL-INKL.COM in Deutschland, wie unsere Website genutzt wird. Es werden keine Cookies gesetzt und keine Daten an Dritte (auch nicht an Google) übermittelt.

Verarbeitet werden: aufgerufene Seite, Herkunftsseite (nur der Domainname, z. B. google.com), ein Kampagnen- oder Empfehlungskürzel aus dem Link, die Bildschirmbreite (daraus nur „Handy/Tablet/Computer“), Verweildauer, wie weit gescrollt wurde und Klicks auf Kontaktwege (z. B. WhatsApp, Kontaktformular öffnen). Um Besucher eines Tages nicht doppelt zu zählen, bilden wir aus Ihrer gekürzten IP-Adresse, der Browserkennung und einem täglich neuen Zufallswert eine Prüfsumme. Der Zufallswert wird am Folgetag gelöscht, die Prüfsummen werden nach Tagesende verworfen; übrig bleiben nur Tagessummen ohne Personenbezug. Ein Nutzerprofil entsteht nicht. Die Tagessummen bewahren wir höchstens 25 Monate auf.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen. Unabhängig davon zählen wir, wie viele Anfragen, Terminbuchungen und Bestellungen insgesamt eingehen (nur eine Zahl, ohne Bezug zu Ihrer Person; Art. 6 Abs. 1 lit. f DSGVO).

Auf der Preisseite führt ein kurzer Preisfinder durch Fragen (privat oder geschäftlich, Unternehmensgröße, ungefähre Seitenzahl, Branche, Ziel der Website). Mit Ihrer Einwilligung zählen wir diese Antworten nur als anonyme Tagessummen mit, zum Beispiel „Branche Fahrschule gewählt“ oder „Paket gewählt“. Die Zähler sind keiner Person zugeordnet. Ohne Einwilligung funktioniert der Preisfinder trotzdem, es wird dann nichts an unseren Server gesendet.

10b. Interne Benachrichtigung über neue Anfragen

Damit wir schnell reagieren können, werden wir über neue Anfragen per E-Mail (über unser Postfach bei ALL-INKL.COM) und per Push-Benachrichtigung auf unseren eigenen Geräten informiert (siehe Ziffer 7a). Andere Messenger- oder Gateway-Dienste nutzen wir dafür nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage) bzw. lit. f (berechtigtes Interesse an schneller Rückmeldung).

11. Content-Management-Systeme für Kundenprojekte

Auf Wunsch richten wir für Kundenprojekte ein Content-Management-System eines unabhängigen Anbieters ein (z.B. Surreal CMS). Dieses System wird auf dieser Website nicht eingesetzt. Dabei verarbeitet der jeweilige Anbieter die vom Kunden eingegebenen Inhalte und Zugangsdaten nach seiner eigenen Datenschutzerklärung. Verantwortlich für die Inhalte ist der Kunde; soweit wir weisungsgebunden tätig werden, schließen wir einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

12. B2B-Datenschutzverantwortung bei erstellten Kunden-Websites

Die Malutiwa GbR agiert bei der Erstellung von Webseiten, Software und KI-Systemen als rein technischer und gestalterischer Dienstleister.

Die rechtliche und datenschutzrechtliche Verantwortung für den Betrieb, die Richtigkeit des Impressums, die Datenschutzerklärung, die Einbindung von Cookie-Consent-Bannern und die Einholung von Einwilligungen auf den für Kunden erstellten Ziel-Webseiten liegt vollumfänglich beim jeweiligen Kunden als offiziellem Diensteanbieter (§ 5 DDG) und Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO.

12a. Hosting Ihrer Website durch uns (Managed Hosting, Auftragsverarbeitung)

Betreiben wir Ihre Website als Managed Hosting (AGB § 9.1), verarbeiten wir die dort anfallenden personenbezogenen Daten (z.B. IP-Adressen und Logfiles der Besucher, Formularübermittlungen, Inhalte) in Ihrem Auftrag. Sie sind Verantwortlicher, wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Den dafür geltenden Vertrag finden Sie als Anlage 1 in den AGB. Unterauftragsverarbeiter ist ALL-INKL.COM – Neue Medien Münnich (Rechenzentren in Dresden und Friedersdorf, Deutschland) mit der Neue Medien Münnich GmbH (Neusalza-Spremberg). Sie erhalten keinen direkten Zugang zu Server, Kundenmenü, FTP oder Datenbank; alle technischen Einstellungen nehmen wir vor.

13. Kontakt für Datenschutzfragen

Wenn Sie Fragen zum Datenschutz haben oder Ihre Betroffenenrechte ausüben möchten, wenden Sie sich bitte direkt an uns:

Malutiwa GbR – Datenschutz

Hadolfinger Straße 47, 72108 Rottenburg am Neckar

E-Mail: info@malutiwa.com