Datenschutzerklärung

1. Verantwortlicher

2. Verarbeitete personenbezogene Daten

• Kontaktdaten (Name, E-Mail-Adresse, Nachrichteninhalt), die Sie über das Kontaktformular (/api/contact) senden; gespeichert in unserer MongoDB-Datenbank inklusive Zeitstempel und Rate-Limiter-Metadaten.
• Kundendaten, die im Admin-Bereich (/api/admin/customers) erfasst werden: Vor- und Nachname, Firma, Postanschrift, Telefonnummer, E-Mail, Referral-Codes, Projektnotizen, Preisangaben, discountRate, finalPrice, referralCount sowie Zeitstempel.
• Einträge aus dem Empfehlungsprogramm (ReferralTransaction): referrerCode, Rabattstufen (3/6/9 %), Referral-Level und die jeweils verknüpfte Kunden-ID.
• Rechnungsinformationen, die mit dem Rechnungsgenerator (InvoiceService) erstellt werden, wie Rechnungsnummer, Lieferumfang, Projektbeschreibung, MwSt.-Berechnungen und Zahlungsreferenzen.
• Authentifizierungsdaten für Administrator:innen (E-Mail, gehashte Passwörter, Sitzungstoken als httpOnly-Cookie "admin-auth-token").
• Technische Metadaten wie IP-Adressen (kurzzeitig in den Rate-Limiter-Schlüsseln gespeichert), Browser-Header und Server-Logs zur Absicherung des Dienstes.

3. Zwecke und Rechtsgrundlagen

• Beantwortung von Kontaktanfragen und Angebotserstellung (Art. 6 Abs. 1 lit. b DSGVO).
• Verwaltung von Kund:innen, Empfehlungsvergütungen und Projektergebnissen (Art. 6 Abs. 1 lit. b und lit. f DSGVO).
• Erstellung von Rechnungen und Erfüllung gesetzlicher Buchführungspflichten (Art. 6 Abs. 1 lit. c DSGVO).
• Versand von Empfehlungs-E-Mails und Erinnerungen über nodemailer (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Missbrauchsvermeidung, Durchsetzung von Rate Limits und Schutz unserer Systeme (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Erfüllung rechtlicher Verpflichtungen oder behördlicher Anordnungen (Art. 6 Abs. 1 lit. c DSGVO).

4. Aufbewahrungsfristen

• Kontaktanfragen speichern wir bis zu 12 Monate nach Abschluss, sofern kein Folgeauftrag entsteht.
• Kunden- und Referral-Daten bewahren wir für die Dauer der Geschäftsbeziehung sowie bis zu 3 Jahre für Verjährungsfristen auf, sofern keine längeren gesetzlichen Pflichten bestehen.
• Rechnungsrelevante Informationen werden gemäß deutschen Handels- und Steuervorschriften 10 Jahre lang gespeichert.
• Rate-Limiter-Einträge mit IP-Schlüsseln verfallen automatisch nach dem konfigurierten Zeitfenster (60 Sekunden) und werden anschließend gelöscht.
• Server- und Sicherheitsprotokolle werden innerhalb von 90 Tagen entfernt, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

5. Empfänger und Auftragsverarbeiter

• Hosting- und Deployment-Anbieter, die für das Live-Portfolio genutzt werden (z. B. Vercel oder vergleichbare Cloud-Plattformen).
• Datenbank-Hosting über MongoDB Atlas oder einen anderen, über die Umgebungsvariable MONGODB_URI definierten Anbieter.
• E-Mail-Versand via Gmail-SMTP oder – in der Entwicklung – Ethereal-Testkonten von nodemailer.
• Cloudinary für die Speicherung und Auslieferung von Medien, sofern Sie Bilder über /api/upload hochladen.
• Zahlungsdienstleister (Banken, PayPal), wenn Sie Rechnungen über die angegebenen Methoden begleichen.
• Berater:innen oder Behörden, soweit gesetzlich vorgeschrieben.

6. Datenübermittlungen in Drittländer

7. Sicherheit

• Verschlüsselte Übertragung (HTTPS) für öffentliche Endpunkte und Admin-Oberflächen.
• Beschränkter Administrationszugriff, geschützt durch JWTs und httpOnly-Cookies.
• Rate-Limiting und IP-Drosselung über mongoRateLimiter zur Missbrauchsprävention.
• Regelmäßige Wartung der Abhängigkeiten sowie Überwachung der Server-Logs.

8. Ihre Rechte

• Auskunft über die gespeicherten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO) und Einschränkung (Art. 18 DSGVO) im gesetzlichen Rahmen.
• Datenübertragbarkeit für von Ihnen bereitgestellte Daten (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft.
• Beschwerderecht bei einer Aufsichtsbehörde, insbesondere beim LfDI Baden-Württemberg oder Ihrer lokalen Behörde.

9. Ausübung Ihrer Rechte

10. Kundenprojekte und Partner-Logos

• Projektdarstellung: Mit ausdrücklicher schriftlicher Zustimmung jedes Kunden zeige ich Projektdetails wie Beschreibungen, verwendete Technologien, Screenshots und Projektergebnisse. Kundennamen und Firmeninformationen werden nur mit ausdrücklicher Erlaubnis angezeigt.
• Partner-Logos: Firmenlogos von Partnern werden im Partnerbereich nur nach Erhalt ausdrücklicher Genehmigung durch eine schriftliche Vereinbarung oder Vertragsklausel angezeigt. Logos werden ausschließlich zur Darstellung beruflicher Zusammenarbeit verwendet.
• Kundenkontrolle: Kunden behalten das Recht, jederzeit die Entfernung oder Änderung ihrer Projektinformationen oder Logos durch direkte Kontaktaufnahme anzufordern. Solche Anfragen werden innerhalb von 7 Werktagen bearbeitet.
• Vertrauliche Informationen: Vertrauliche Geschäftsinformationen, proprietärer Code oder sensible Daten werden niemals ohne ausdrückliche schriftliche Genehmigung veröffentlicht. Alle Präsentationsmaterialien durchlaufen vor Veröffentlichung eine Kundenprüfung und -genehmigung.
• Rechtsgrundlage: Diese Präsentationsaktivitäten erfolgen gemäß Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung beruflicher Arbeit), wobei die Kundeneinwilligung stets Vorrang hat.

11. Aktualisierungen