Datenschutzerklärung

Stand: 18. Oktober 2026

1 Verantwortlicher und Geltungsbereich

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch von null-one.dev, bei der Kontaktaufnahme sowie im Rahmen unserer eigenen Kunden- und Geschäftsbeziehungen für IT-Entwicklung und Beratung. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verantwortlicher ist Osieka / Röber GbR, handelnd unter Null One Dev, vertreten durch die Gesellschafter Franziska Osieka und Carl Röber, Kantstr. 152, 10623 Berlin, Deutschland. E-Mail für Datenschutzanliegen: c.roeber@null-one.dev

Soweit wir personenbezogene Daten für unsere Auftraggeber weisungsgebunden verarbeiten, ist grundsätzlich der jeweilige Auftraggeber für die betreffende Verarbeitung verantwortlich. Dazu erläutern wir unsere Rolle in Abschnitt 10. Für eigenständige Anwendungen oder zusätzliche Angebote stellen wir, soweit erforderlich, ergänzende Datenschutzinformationen bereit.

2 Websitebetrieb und Kontaktaufnahme

Beim Aufruf unserer Website werden technisch erforderliche Verbindungsdaten verarbeitet, damit die angeforderten Inhalte ausgeliefert und die Systeme geschützt werden können. Die tatsächlichen Protokolldaten umfassen die IP-Adresse, Datum und Uhrzeit des Abrufs, den abgerufenen Host und Pfad einschließlich etwaiger Suchparameter, die HTTP-Methode und den HTTP-Statuscode, die Browserkennung (User-Agent, aus der sich in der Regel Browser und Betriebssystem ergeben), die bearbeitende Serverregion sowie den Cache-Status. Aus der IP-Adresse leitet der Hostinganbieter außerdem einen ungefähren Standort ab.

Die Verarbeitung für Bereitstellung, Fehleranalyse und Missbrauchsabwehr erfolgt auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO. Unsere berechtigten Interessen sind ein zuverlässiger und sicherer Websitebetrieb und die Aufklärung von Angriffen. Empfänger ist unser Hostinganbieter Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Vercel stellt für die Verarbeitung personenbezogener Daten im Auftrag seiner Kunden ein Data Processing Addendum (Auftragsverarbeitungsvereinbarung) bereit. Die Übermittlung in die USA ist datenschutzkonform: Vercel Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, sodass ein Angemessenheitsbeschluss der Europäischen Kommission greift (siehe Abschnitt 3).

Verbindungsdaten werden für die Übermittlung benötigt. Serverprotokolle löschen oder anonymisieren wir nach einer Stunde: Vercel löscht die in unserem Konto verfügbaren Laufzeitprotokolle nach diesem Zeitraum automatisch, und wir exportieren oder speichern sie nicht gesondert. Protokolle, die Vercel zum Betrieb und Schutz seiner Plattform in eigener Verantwortung führt, bewahrt Vercel nach eigenen Angaben nur so lange auf, wie es hierfür erforderlich ist; eine konkrete Frist nennt Vercel nicht. Bei einem konkreten Sicherheitsvorfall speichern wir die hierfür erforderlichen Auszüge getrennt bis zum Abschluss der Untersuchung beziehungsweise einer erforderlichen Rechtsverfolgung. Sonstige Protokolle bleiben davon unberührt. Angaben zu Übermittlungen außerhalb des EWR enthält Abschnitt 3.

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt Ihrer Nachricht. Das Websiteformular erfasst Name, E-Mail-Adresse und Nachricht. Pflichtangaben sind im Formular erkennbar. Ohne eine Rückkontaktmöglichkeit und ausreichende Angaben können wir Ihre Anfrage regelmäßig nicht beantworten; nicht benötigte Zusatzangaben sind freiwillig. Bitte übermitteln Sie über das allgemeine Formular keine Passwörter, Zugangsschlüssel oder besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten.

Über unsere Online-Widerrufsfunktion verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, die Angaben zum betroffenen Vertrag, Ihre Widerrufserklärung sowie Datum und Uhrzeit des Eingangs, um den Widerruf zu bearbeiten und Ihnen den Eingang zu bestätigen. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. b und c DSGVO.

Geht es um einen Vertrag mit Ihnen oder auf Ihre Anfrage hin um dessen Vorbereitung, ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage. Bei allgemeinen Anfragen und bei Kontaktpersonen eines Unternehmens stützen wir die Bearbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse besteht in der sachgerechten Kommunikation und Pflege von Geschäftsbeziehungen. Eine gesonderte Einwilligung ist hierfür grundsätzlich nicht erforderlich.

Für die technische Formularverarbeitung setzen wir Web3Forms ein. Betreiber laut Anbieterunterlagen ist Web3Creative, tätig aus Indien. Anbieterangaben: Web3Creative, Kerala, Indien; eine vollständige Postanschrift veröffentlicht der Anbieter nicht, Kontakt: support@web3forms.com. Übermittelt werden Formularinhalt und die für Übermittlung und Schutz erforderlichen Metadaten. Unsere gegenüber Ihnen bestehende Rechtsgrundlage bleibt die für Ihre Anfrage geltende Grundlage. Der Dienst handelt insoweit als Auftragsverarbeiter.

Die über Web3Forms gespeicherten Eingaben werden nach spätestens drei Jahren ab Eingang automatisch von Web3Forms gelöscht. Für Kopien im E-Mail-Postfach gilt die nachfolgend genannte Frist von drei Jahren. Unser E-Mail-Anbieter ist Microsoft 365, das wir über GoDaddy beziehen. Vertragspartner ist die GoDaddy.com, LLC, 100 S. Mill Ave, Suite 1600, Tempe, AZ 85281, USA, die als unser Auftragsverarbeiter auf Grundlage ihres Datenverarbeitungszusatzes tätig ist; den Dienst selbst betreibt Microsoft. Die Postfachdaten werden in Rechenzentren in Deutschland gespeichert und von Microsoft im Rahmen seiner EU-Datengrenze (EU Data Boundary) innerhalb der EU verarbeitet. Nach Abschluss einer Anfrage ohne anschließenden Vertrag löschen wir die nicht mehr erforderlichen Inhalte nach drei Jahren. Aufbewahrungspflichtige Korrespondenz und konkret erforderliche Nachweise behandeln wir nach Abschnitt 8.

Die Website ist über HTTPS verschlüsselt erreichbar. Eine Transportverschlüsselung schützt die Übertragung auf dem jeweiligen Übertragungsweg; sie bedeutet nicht automatisch eine Ende-zu-Ende-Verschlüsselung sämtlicher E-Mails und nachfolgender Verarbeitungsschritte.

3 Empfänger und Übermittlungen in andere Länder

Zugriff erhalten intern nur Personen, die die Daten für ihre Aufgaben benötigen. Externe Dienstleister erhalten Daten, soweit dies für den beschriebenen Zweck erforderlich und rechtlich zulässig ist. Die tatsächlich eingesetzten Anbieter für Hosting (Vercel), Formularverarbeitung (Web3Forms), E-Mail (Microsoft 365), Reichweitenmessung (Umami) und Projektwerkzeuge (GitHub) sind in den jeweiligen Abschnitten benannt. Soweit sie in unserem Auftrag handeln, erfolgt die Verarbeitung auf Grundlage eines Vertrags nach Art. 28 DSGVO und unserer Weisungen.

Bei Rechnungsstellung und Zahlung verarbeiten gegebenenfalls unsere Bank und Steuerberatung die jeweils erforderlichen Daten. Behörden erhalten Daten bei einer gesetzlichen Verpflichtung auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit der jeweiligen Vorschrift. Rechtsberatung und erforderliche Empfänger zur Durchsetzung oder Abwehr von Ansprüchen erhalten Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die Wahrung unserer Rechte. Beruflich eigenverantwortlich handelnde Empfänger sind nicht allein wegen ihrer Beauftragung Auftragsverarbeiter.

Datenübermittlungen an Empfänger außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums beschreiben wir für den jeweiligen Dienst. Dazu können auch Zugriffe durch Dienstleister aus solchen Staaten gehören. Für jede tatsächlich stattfindende Übermittlung nennen wir das Empfängerland und entweder den einschlägigen Angemessenheitsbeschluss nach Art. 45 DSGVO oder die geeigneten Garantien nach Art. 46 DSGVO sowie die Möglichkeit, eine Kopie dieser Garantien zu erhalten.

Hosting – Vercel Inc., USA. Betroffen sind die Verbindungs- und Protokolldaten nach Abschnitt 2, zur Auslieferung und zum Schutz der Website. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023). Vercel Inc. ist in der offiziellen Teilnehmerliste unter www.dataprivacyframework.gov als aktiv zertifiziert geführt.

Formularverarbeitung – Web3Creative (Web3Forms), Indien. Betroffen sind die Formularinhalte (Kontaktformular: Name, E-Mail-Adresse, Nachricht; Widerrufsformular: Name, E-Mail-Adresse, Angaben zum Vertrag, Widerrufserklärung und Zeitpunkt) sowie technische Metadaten wie IP-Adresse, Zeitpunkt und Referrer. Zweck ist die Entgegennahme, Spamprüfung, Speicherung und Weiterleitung der Eingaben per E-Mail an uns. Für Indien besteht kein Angemessenheitsbeschluss. Grundlage sind daher die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), die in die Auftragsverarbeitungsvereinbarung von Web3Forms einbezogen sind. Als ergänzende Maßnahmen nennt der Anbieter Transportverschlüsselung (TLS) und die Verschlüsselung gespeicherter Daten. Web3Forms setzt Unterauftragsverarbeiter in weiteren Ländern ein: Amazon Web Services (Hosting, Datenbank, E-Mail-Versand; Regionen nach Konfiguration des Anbieters), Cloudflare (weltweites Netzwerk), Hetzner (Deutschland/Finnland) sowie zur Spamabwehr CleanTalk und Akismet (Automattic) mit Sitz in den USA. Die beiden Spamdienste erhalten die IP-Adresse und die E-Mail-Adresse der absendenden Person.

Reichweitenmessung – Umami Software, Inc., USA (nur nach Einwilligung). Betroffene Daten und Zweck sind in Abschnitt 4 beschrieben. Umami Software, Inc. ist nicht unter dem EU-US Data Privacy Framework zertifiziert. Grundlage sind die Standardvertragsklauseln, Modul 2 (Verantwortlicher an Auftragsverarbeiter), die in die Auftragsverarbeitungsvereinbarung von Umami einbezogen sind. Umami betreibt Server in den USA und in der EU und setzt Unterauftragsverarbeiter überwiegend in den USA ein, unter anderem Amazon Web Services, ClickHouse, Cloudflare und Vercel.

E-Mail – Microsoft 365, bezogen über GoDaddy. Betroffen sind Inhalte und Metadaten der E-Mails, die wir senden und empfangen, einschließlich der Weiterleitungen aus unseren Websiteformularen. Die Postfachdaten werden in Deutschland gespeichert; im Rahmen seiner EU-Datengrenze speichert und verarbeitet Microsoft Kundendaten innerhalb der EU und des EFTA-Raums und übermittelt sie nur in den von Microsoft dokumentierten, begrenzten Ausnahmefällen in andere Länder. Microsoft Corporation ist unter dem EU-US Data Privacy Framework aktiv zertifiziert. Unser Vertragspartner GoDaddy.com, LLC (USA) ist über die Zertifizierung der GoDaddy Operating Company, LLC ebenfalls unter dem EU-US Data Privacy Framework erfasst; Übermittlungen an GoDaddy stützen sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission.

Projektwerkzeug – GitHub, Inc., USA. Für die Quellcodeverwaltung sowie automatisierte Prüfungen und Builds nutzen wir GitHub der GitHub, Inc., 88 Colin P. Kelly Jr. St., San Francisco, CA 94107, USA. Betroffen sind die dort abgelegten Projektinhalte sowie Namen, Benutzernamen und E-Mail-Adressen der beteiligten Personen in Commits, Issues und Pull Requests. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, unter dem GitHub aktiv zertifiziert ist.

Die Auftragsverarbeitungsvereinbarungen von Web3Forms (web3forms.com/dpa) und Umami (umami.is/dpa) einschließlich der Regelungen zu den Standardvertragsklauseln sind öffentlich abrufbar. Eine Kopie der auf Ihre Daten anwendbaren Garantien können Sie über unseren Datenschutzkontakt anfordern; erforderliche Schwärzungen zum Schutz fremder Rechte bleiben möglich.

4 Cookies, lokale Speicherung und Reichweitenmessung

Beim Speichern von Informationen auf Ihrem Endgerät oder beim Zugriff auf bereits gespeicherte Informationen beachten wir § 25 TDDDG. Die Vorschrift gilt auch für vergleichbare Techniken wie lokalen Browserspeicher. Eine Einwilligung ist entbehrlich, wenn die gesetzlichen Voraussetzungen einer Ausnahme erfüllt sind, insbesondere soweit die Speicherung oder der Zugriff für einen von Ihnen ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist. Eine anschließende Verarbeitung personenbezogener Daten benötigt zusätzlich eine Rechtsgrundlage nach der DSGVO.

Unsere Website setzt keine Cookies; auch unser Hostinganbieter setzt beim Abruf der Seiten keine Cookies. Folgende Informationen werden in Ihrem Browser gespeichert oder ausgelesen:

Schlüssel
theme
Speicherort
Local Storage
Anbieter
wir
Zweck
Merkt sich die von Ihnen über den Schalter gewählte Darstellung (hell oder dunkel). Wird nur gesetzt, wenn Sie den Schalter betätigen, und beim Seitenaufruf ausgelesen.
Gespeicherte Daten
light oder dark
Laufzeit
bis Sie die Websitedaten in Ihrem Browser löschen
Schlüssel
react-router-scroll-positions
Speicherort
Session Storage
Anbieter
wir
Zweck
Stellt beim Vor- und Zurücknavigieren die vorherige Scrollposition wieder her.
Gespeicherte Daten
zufällige Kennungen der Verlaufseinträge mit Scrollpositionen
Laufzeit
bis zum Schließen des Browser-Tabs
Schlüssel
react-router-manifest-version
Speicherort
Session Storage
Anbieter
wir
Zweck
Nur wenn während Ihres Besuchs eine neue Version der Website veröffentlicht wird: steuert ein einmaliges Neuladen der Seite.
Gespeicherte Daten
Versionskennung der Website
Laufzeit
bis zum Schließen des Browser-Tabs
Schlüssel
analytics-consent
Speicherort
Local Storage
Anbieter
wir
Zweck
Speichert Ihre Entscheidung zur Reichweitenmessung, damit das Banner nicht bei jedem Aufruf erneut erscheint. Eine Entscheidung, die älter als 12 Monate ist, wird nicht mehr berücksichtigt; das Banner fragt dann erneut.
Gespeicherte Daten
Ihre Entscheidung (accepted oder rejected) und deren Zeitpunkt
Laufzeit
bis Sie eine neue Entscheidung treffen oder die Websitedaten in Ihrem Browser löschen
Schlüssel
umami.disabled
Speicherort
Local Storage
Anbieter
wir (setzen), Umami (liest aus)
Zweck
Wird nur gesetzt, wenn Sie eine erteilte Einwilligung widerrufen, und bei einer erneuten Zustimmung wieder entfernt. Das Umami-Skript prüft den Eintrag vor jeder Übermittlung und sendet dann keine Daten mehr.
Gespeicherte Daten
1
Laufzeit
bis zu Ihrer erneuten Zustimmung oder bis Sie die Websitedaten in Ihrem Browser löschen

Die Einträge werden nur in Ihrem Browser gespeichert und nicht an uns übermittelt. Speicherung und Zugriff erfolgen ohne Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG, weil sie für die von Ihnen genutzten Funktionen der Website unbedingt erforderlich sind; analytics-consent und umami.disabled dienen dabei dazu, Ihre Entscheidung zur Reichweitenmessung festzuhalten und einen Widerruf umzusetzen. Das Umami-Skript selbst liest umami.disabled nur aus, wenn es nach Ihrer Einwilligung geladen wurde (siehe unten).

Reichweitenmessung mit Umami Cloud. Mit Ihrer Einwilligung nutzen wir den Webanalysedienst Umami Cloud der Umami Software, Inc., 28 Geary St, Suite 650 #243, San Francisco, CA, USA. Das Messskript wird erst geladen, nachdem Sie im Einwilligungsbanner zugestimmt haben; ohne Ihre Zustimmung findet keine Messung statt. Das Skript wird von cloud.umami.is geladen und übermittelt bei jedem Seitenaufruf an gateway.umami.is die aufgerufene Adresse (URL) und den Seitentitel, die verweisende Seite (Referrer), Ihre Bildschirmauflösung und Browsersprache sowie technisch bedingt Ihre IP-Adresse und Browserkennung (User-Agent). Daraus ermittelt Umami Browser, Betriebssystem, Gerätetyp und den ungefähren Standort (Land, Region, Stadt). Nach dem veröffentlichten Programmcode von Umami wird die IP-Adresse nicht gespeichert, sondern zusammen mit der Browserkennung, einer Kennung unserer Website und einem regelmäßig wechselnden Wert zu einer pseudonymen Sitzungskennung verrechnet. Umami setzt keine Cookies. Eigene Ereignisse oder Nutzerkennungen übermitteln wir nicht, und wir führen die Daten weder mit anderen Daten noch über andere Websites hinweg zusammen.

Zweck ist die statistische Auswertung der Nutzung unserer Website, um Inhalte und Darstellung zu verbessern. Rechtsgrundlage für den Zugriff auf Ihr Endgerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 Buchst. a DSGVO, jeweils auf Grundlage Ihrer Einwilligung. Umami verarbeitet die Daten als unser Auftragsverarbeiter; zu Empfängern und zur Übermittlung in die USA siehe Abschnitt 3. Die erhobenen Daten werden in unserem Tarif nach sechs Monaten gelöscht. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie über den Link „Datenschutzeinstellungen“ im Seitenfuß das Banner erneut öffnen und „Ablehnen“ wählen. Die Messung endet dann sofort, und die Seite wird neu geladen, damit kein Messskript weiterläuft.

5 Externe Inhalte und soziale Netzwerke

Auf unserer Website verlinkte externe Angebote werden erst durch Ihr Anklicken geöffnet. Die betreffenden Links laden für sich genommen keine eingebetteten Inhalte der Zielplattform. Bei Aufruf des externen Angebots verarbeitet dessen Betreiber Daten in eigener Verantwortung. Die dortigen Datenschutzinformationen erläutern diese Verarbeitung.

6 Widerspruchsrecht

Wenn wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Dies gilt auch für ein darauf gestütztes Profiling. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen eine Verarbeitung Ihrer personenbezogenen Daten für Direktwerbung können Sie jederzeit ohne Angabe von Gründen Widerspruch einlegen. Dies gilt auch für Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Für diese Zwecke werden wir Ihre Daten dann nicht mehr verarbeiten. Sie können Ihren Widerspruch formlos an den in Abschnitt 1 genannten Kontakt richten.

7 Ihre weiteren Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft und eine Kopie Ihrer personenbezogenen Daten nach Art. 15 DSGVO, auf Berichtigung und Vervollständigung nach Art. 16 DSGVO, auf Löschung nach Art. 17 DSGVO sowie auf Einschränkung der Verarbeitung nach Art. 18 DSGVO. Löschung kann insbesondere dann ausgeschlossen sein, wenn die weitere Verarbeitung zur Erfüllung gesetzlicher Pflichten oder für Rechtsansprüche erforderlich ist.

Nach Art. 20 DSGVO können Sie die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und, soweit technisch machbar, an einen anderen Verantwortlichen übermitteln lassen, wenn die Verarbeitung auf Einwilligung oder Vertrag beruht und automatisiert erfolgt.

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin auf ihrer Grundlage erfolgten Verarbeitung berührt wird. Der Widerruf ist über den angegebenen Kontakt und, bei entsprechenden Online-Diensten, über die dort angebotene Widerrufsfunktion möglich.

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere im Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des vermuteten Verstoßes. Die für unseren Sitz zuständige Behörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an unseren Datenschutzkontakt. Bei begründeten Zweifeln an Ihrer Identität können wir erforderliche zusätzliche Informationen anfordern. Wir antworten grundsätzlich innerhalb eines Monats nach Eingang. Bei komplexen oder zahlreichen Anträgen kann die Frist unter den gesetzlichen Voraussetzungen um bis zu zwei weitere Monate verlängert werden; darüber und über die Gründe informieren wir innerhalb des ersten Monats. Die Bearbeitung ist grundsätzlich unentgeltlich; gesetzliche Ausnahmen bleiben unberührt.

8 Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur, solange sie für den jeweils genannten Zweck erforderlich sind oder eine gesetzliche Pflicht zur weiteren Speicherung besteht. Die konkreten Fristen beziehungsweise nachvollziehbaren Kriterien stehen bei den einzelnen Verarbeitungsvorgängen. Einwilligungsdaten werden nicht allein deshalb unbegrenzt gespeichert, weil eine Einwilligung noch nicht widerrufen wurde.

Soweit uns die gesetzlichen Aufbewahrungspflichten treffen, bewahren wir Buchungsbelege grundsätzlich acht Jahre, Handels- und Geschäftsbriefe grundsätzlich sechs Jahre und Bücher, Inventare sowie die gesetzlich bezeichneten Abschlussunterlagen grundsätzlich zehn Jahre auf. Die Fristen beginnen grundsätzlich mit Ablauf des Kalenderjahres des jeweils gesetzlich bestimmten Ereignisses. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit insbesondere § 147 AO und, soweit anwendbar, § 257 HGB. Gesetzliche Verlängerungen, etwa bei noch offenen steuerlichen Verfahren, bleiben zu beachten.

Für konkret erforderliche Nachweise zur Durchsetzung oder Abwehr von Ansprüchen kann eine weitere Speicherung auf Art. 6 Abs. 1 Buchst. f DSGVO beruhen. Unser berechtigtes Interesse besteht in der Wahrung unserer Rechtsposition. Wir beschränken dies auf erforderliche Unterlagen und auf den Zeitraum, in dem Ansprüche tatsächlich in Betracht kommen beziehungsweise Verfahren andauern. Die allgemeinen Aufbewahrungsfristen rechtfertigen keine pauschale Archivierung sämtlicher Projektdateien, Zugangsdaten und Logdateien.

9 IT-Projekte, Beratung und Geschäftsbeziehungen

Für Anbahnung, Durchführung, Dokumentation und Abrechnung unserer Entwicklungs- und Beratungsleistungen verarbeiten wir die erforderlichen Stamm- und Kontaktdaten, geschäftlichen Kommunikationsinhalte, Angebots- und Vertragsdaten, Projektabsprachen, Leistungsnachweise sowie Rechnungs- und Zahlungsinformationen. Für die Quellcodeverwaltung sowie automatisierte Prüfungen und Builds setzen wir GitHub ein (siehe Abschnitt 3).

Bei natürlichen Personen als Vertragspartnern beruht die erforderliche Verarbeitung auf Art. 6 Abs. 1 Buchst. b DSGVO. Für Kontaktpersonen unserer Geschäftskunden und Lieferanten ist Art. 6 Abs. 1 Buchst. f DSGVO maßgeblich; unser berechtigtes Interesse ist die geordnete Zusammenarbeit und Vertragsabwicklung. Gesetzlich vorgeschriebene Abrechnung und Aufbewahrung beruhen auf Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit den einschlägigen Vorschriften. Eine Verarbeitung auf Einwilligung erfolgt nur für einen gesondert benannten freiwilligen Zweck.

Die für Angebot und Auftrag gekennzeichneten Angaben benötigen wir für die jeweilige Leistung; ohne sie kann ein Vertrag gegebenenfalls nicht vorbereitet oder durchgeführt werden. Nicht erforderliche Angaben sind freiwillig. Projekt- und Kommunikationsdaten löschen wir nach Ablauf von drei Jahren ab dem Ende des Kalenderjahres, in dem das Projekt beziehungsweise der Support abgeschlossen wurde; dies entspricht der regelmäßigen Verjährungsfrist nach §§ 195, 199 BGB. Nur gesondert aufbewahrungspflichtige oder für konkrete Ansprüche erforderliche Daten bleiben nach Abschnitt 8 gespeichert.

10 Verarbeitung von Kundendaten im Auftrag

Bei Entwicklungs-, Integrations- und Supportaufträgen kann es erforderlich sein, dass wir auf personenbezogene Daten zugreifen, für deren Verarbeitung unser Auftraggeber verantwortlich ist. Soweit wir diese Daten ausschließlich auf dessen dokumentierte Weisung verarbeiten, handeln wir als Auftragsverarbeiter. Maßgeblich sind der vereinbarte Leistungsumfang und die Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO. Diese Websiteerklärung ist keine Einwilligung der betroffenen Personen in die Verarbeitung durch den Auftraggeber.

Die Zwecke, Rechtsgrundlagen und Informationen gegenüber den betroffenen Personen legt in dieser Rolle der Auftraggeber fest. Wir unterstützen ihn bei der Erfüllung seiner Pflichten. Erhalten wir eine Anfrage zu solchen Daten, leiten wir sie dem zuständigen Auftraggeber zur Bearbeitung zu, soweit wir ihn anhand der Angaben zuordnen können. Eigene Geschäftskontaktdaten verarbeiten wir dagegen nach den übrigen Abschnitten dieser Erklärung.

11 Herkunft der Daten und ergänzende Informationen

Die meisten Angaben erhalten wir unmittelbar von Ihnen. Im Rahmen geschäftlicher Zusammenarbeit erhalten wir gegebenenfalls berufliche Kontaktdaten, Funktion und projektbezogene Angaben von Ihrem Arbeitgeber beziehungsweise unserem Auftraggeber. Soweit wir Daten nicht unmittelbar bei Ihnen erheben und eine Informationspflicht nach Art. 14 DSGVO besteht, informieren wir Sie innerhalb der gesetzlichen Fristen, grundsätzlich spätestens innerhalb eines Monats, bei vorheriger Kommunikation spätestens bei der ersten Mitteilung und bei geplanter Offenlegung spätestens bei der ersten Offenlegung. Gesetzliche Ausnahmen bleiben unberührt.