Datenschutzerklärung

1. Verantwortlicher

2. Aufruf der Website und Hosting

Beim Aufruf verarbeitet der Webserver technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, übertragene Datenmenge, Referrer und Browser-/Geräteangaben. Das ist nötig, um die Website auszuliefern, Angriffe zu erkennen und den Betrieb zu sichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren, stabilen Betrieb.

Das Next.js-Angebot wird auf einem VPS von Hostinger am Serverstandort Düsseldorf (Deutschland) betrieben. Informationen zur Auftragsverarbeitung und zu Unterauftragnehmern enthält der Datenschutz-Zusatzvertrag von Hostinger. Protokolldaten werden nur so lange aufbewahrt, wie sie für Betrieb, Fehleranalyse und Sicherheit erforderlich sind.

3. Konfigurator und Anfrage

Wenn Sie den Konfigurator absenden, verarbeiten wir Postleitzahl, Objekt- und Bedarfsangaben, Raumanzahl, Flächen- und Montageangaben sowie Name, E-Mail-Adresse und Telefonnummer. Diese Angaben werden verwendet, um Ihre konkrete Anfrage zu bearbeiten, ein unverbindliches Angebot oder einen Prüffall zu erzeugen, Rückfragen zu ermöglichen und die weiteren Schritte vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen auf Ihre Anfrage hin.

Die Pflichtbestätigung im Formular dokumentiert, dass Sie diese Hinweise erhalten haben und die Anfrage absenden möchten. Sie ist keine Einwilligung in Werbung oder nicht erforderliche Datenverarbeitung. Ohne die als Pflichtfelder bezeichneten Angaben kann die Anfrage nicht verarbeitet werden.

Damit ein technisch nicht eindeutig bestätigter Übertragungsversuch sicher wiederholt werden kann, speichert der Browser den Wiederholschlüssel, die dafür gebundenen Formulardaten und deren Prüfsumme vorübergehend im Sitzungsspeicher des aktuellen Tabs. Der Eintrag wird nach einer bestätigten Übertragung oder durch „Neue Konfiguration starten“ entfernt und endet spätestens mit dem Schließen des Tabs. Der Schlüssel ist kein Zugangs- oder Authentisierungsmittel und wird serverseitig nur für exakt dieselben Eingaben akzeptiert.

4. Missbrauchsschutz

Zur Begrenzung automatisierter oder massenhafter Einreichungen wird aus der normalisierten E-Mail-Adresse und Telefonnummer serverseitig eine pseudonyme HMAC-Prüfsumme gebildet. Zusätzlich wird die vom vertrauenswürdigen Webserver übermittelte Netzwerkadresse für eine getrennte pseudonyme HMAC-Prüfsumme verwendet. In der Rate-Limit-Tabelle werden nur diese Prüfsummen, der Einreichungskanal und Zeitstempel gespeichert; weder die Klartext-Kontaktdaten noch die Netzwerkadresse werden dort abgelegt. Die eigentliche Anfrageverarbeitung nach Ziffer 3 bleibt davon getrennt. Ältere Rate-Limit-Einträge werden beim nächsten Einreichungsvorgang nach 24 Stunden entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Supabase, Anmeldung und notwendige Cookies

Datenbank, Authentifizierung, private Dokumente und serverseitige Funktionen werden mit Supabase betrieben; das Projekt ist technisch in der Region EU West (Irland) angelegt. Verarbeitet werden je nach Vorgang Kontakt-, Anfrage-, Angebots-, Status-, Termin-, Dokument-, Kommunikations-, Zugriffs- und Auditdaten. Geschützte Admin- und Partnerbereiche verwenden notwendige Session-Cookies von Supabase, damit Anmeldung und Berechtigungen sicher geprüft werden können. Diese Cookies dienen weder Werbung noch Reichweitenmessung.

Welche Unterauftragnehmer, Verarbeitungsorte und Übermittlungsmechanismen für den eingesetzten Supabase-Tarif gelten, richtet sich nach den jeweils aktuellen Vertrags- und Anbieterunterlagen. Die technische Regionswahl „EU West (Irland)“ ist deshalb nicht mit der Aussage gleichzusetzen, dass jede unterstützende Verarbeitung ausnahmslos innerhalb der EU beziehungsweise des EWR erfolgt.

6. Angebote, Kundenzugang und PDFs

Angebotsstände werden versioniert gespeichert. Dazu gehören Anfrage- und Kundennummern, Aussteller-, Empfänger- und Montageobjektdaten, Positionen, Berechnungsgrundlage, Netto-, Umsatzsteuer- und Bruttowerte sowie Zeit- und Statusangaben. PDFs liegen in einem privaten Speicher. Ein versionsgebundener Kundenzugang wird serverseitig nur als Prüfsumme gespeichert; der geheime Zugriffswert steht im URL-Fragment, wird nicht an den Webserver gesendet und nach dem Einlesen aus der Browseradresse entfernt. PDF-Links sind auf 60 Sekunden begrenzt.

Das Ansehen oder Herunterladen löst keinen Vertrag, keine Zahlung und keine Mail aus. Eine ausdrückliche Interessenbestätigung wird mit Angebotsversion und Zeitpunkt protokolliert und bittet nur um Admin- und Terminprüfung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Kommunikation und Empfänger

Kommunikationsvorgänge werden in einer technischen Ausgangswarteschlange mit Status-, Fehler- und Deduplizierungsdaten geführt. Beim Versand werden E-Mail-Adresse, Nachrichteninhalt und – bei Angeboten – das PDF an den eingesetzten Mailserver von Hetzner übermittelt. Eine Einreichung informiert den Kunden und die hierfür im geschützten Adminbereich hinterlegten internen Empfänger.

Innerhalb des Betriebs erhalten nur berechtigte Personen Zugriff. Eine automatische Datenweitergabe an ausführende Partnerbetriebe ist derzeit nicht aktiviert. Bevor eine konkrete Partnerweitergabe freigeschaltet wird, werden Erforderlichkeit, Datenumfang, datenschutzrechtliche Rolle und die nötige vertragliche Grundlage für diesen Betrieb gesondert festgelegt.

8. Speicherdauer

Anfragedaten werden während der Bearbeitung und anschließend so lange gespeichert, wie sie für vorvertragliche Schritte, einen Vertrag, gesetzliche Aufbewahrungspflichten oder die Geltendmachung beziehungsweise Abwehr von Ansprüchen erforderlich sind. Versionierte Angebots-, Entscheidungs- und Auditnachweise sind technisch bewusst unveränderlich. Eine vollständig automatisierte Löschroutine ist derzeit nicht eingerichtet; Lösch- und Einschränkungsanfragen werden daher im Einzelfall geprüft und manuell umgesetzt, soweit keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.

9. Tracking und externe Inhalte

Klimafuchs verwendet derzeit kein Analyse-, Marketing- oder Werbetracking und bindet keine Google-Maps-, YouTube- oder vergleichbaren Fremdinhalte ein. Deshalb wird kein Einwilligungsbanner für nicht notwendige Cookies angezeigt. Werden solche Dienste später ergänzt, müssen sie vor Aktivierung gesondert bewertet und, soweit erforderlich, erst nach wirksamer Einwilligung geladen werden.

10. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kann für die Zukunft widerrufen werden; die aktuelle Anfrageverarbeitung stützt sich jedoch nicht pauschal auf Einwilligung. Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@schander-elektrotechnik.de.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für Baden-Württemberg ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit, Heilbronner Straße 35, 70191 Stuttgart, erreichbar unter baden-wuerttemberg.datenschutz.de.

11. Automatisierte Entscheidungen und Sicherheit

Standardfälle können anhand der zum Erstellungszeitpunkt veröffentlichten Schander-Preisgrundlage automatisch berechnet werden; Prüffälle erhalten keinen Betrag. Daraus entsteht keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Verträge, Aufträge, Zahlungen und Partnerzuordnungen erfolgen nicht automatisch. Zugriffe werden rollenbezogen begrenzt, Dokumente privat gespeichert und sicherheitsrelevante Vorgänge protokolliert; eine absolute Sicherheit kann nicht zugesagt werden.