Datenschutz­erklärung

1. Datenschutz auf einen Blick

Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website besuchen, uns schreiben, mit uns ein Projekt umsetzen oder wenn wir Ihren Betrieb von uns aus ansprechen. Welche Dienstleister dabei Daten erhalten, mit Sitz und Grundlage der Übermittlung, steht zusätzlich in der Liste unserer Dienstleister.

2. Verantwortliche Stelle

Cross Studio
Lukas Werz
Am Riembach 21
31171 Nordstemmen
E-Mail: hallo@cross-studio.de

3. Datenerfassung auf dieser Website

Server-Protokolle

Unser Webserver (Caddy, auf unserem eigenen Server bei der netcup GmbH in Deutschland) protokolliert jeden Aufruf dieser Website: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge und die Angaben, die Ihr Browser mit jeder Anfrage mitschickt, etwa verweisende Seite, Sprache und Browserkennung. Wir nutzen die Protokolle, um Fehler und Angriffe zu erkennen und abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldatei wird abgeschlossen und gepackt, sobald sie 100 MB erreicht; abgeschlossene Dateien löschen wir nach 90 Tagen. Einzelne Einträge bleiben dadurch bis zu etwa vier Monate gespeichert.

Kontaktformular

Wenn Sie uns über das Kontaktformular schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, auf Wunsch Telefonnummer und Firma, Ihre Nachricht und die Angaben zu Ihrem Vorhaben), um Ihre Anfrage zu bearbeiten und ein Angebot vorzubereiten. Rechtsgrundlage ist die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an der Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Welche Dienstleister dabei Daten erhalten, steht in den Abschnitten 6 bis 8.

Wenn Sie eine Anfrage absenden (Kontaktformular, Formulare auf anderen Seiten, Website-Check), speichern wir mit ihr, auf welchem Weg Sie zu uns gekommen sind. Das sind die Kampagnenangaben aus der aufgerufenen Adresse (utm_source, utm_medium, utm_campaign, utm_term, utm_content), Angaben zu einer Klick-Kennung, wie sie etwa Google, Microsoft oder Meta nach dem Klick auf eine Anzeige an die Adresse anhängen, der Name der verweisenden Website ohne Pfad und ohne Suchbegriff (etwa „google.de“) und die Seite, auf der Sie das Formular abgeschickt haben. Damit Sie dabei nicht verloren gehen, hängt unsere Website diese Angaben an Links zu den Formularseiten an. So sehen wir, welche Werbung zu Anfragen führt (Art. 6 Abs. 1 lit. f DSGVO). Auf Ihrem Gerät wird dafür nichts gespeichert. Wir bewahren die Angaben zusammen mit Ihrer Anfrage auf und löschen sie mit ihr.

Im Formular können Sie außerdem angeben, ob Sie als Unternehmerin oder Unternehmer anfragen und ob wir Sie zurückrufen sollen. Beides nutzen wir nur für Ihre Anfrage und das Angebot. Werbe-E-Mails verschicken wir aufgrund einer Anfrage nicht.

Über „Rückruf anfordern“ verarbeiten wir Ihren Namen, Ihre Telefonnummer, Ihre E-Mail-Adresse für die Bestätigung und, wenn Sie eine nennen, Ihre Wunschzeit. Die Wunschzeit speichern wir als Teil Ihrer Nachricht. Wir nutzen diese Angaben, um Sie zurückzurufen und Ihre Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO). Ihre Bitte um Rückruf, ob über „Rückruf anfordern“ oder über das Häkchen im Formular, speichern wir mit Telefonnummer, Wortlaut und Datum, damit wir belegen können, dass Sie um den Anruf gebeten haben.

Speicher in Ihrem Browser

Ihre Auswahl im Cookie-Hinweis legt die Website im lokalen Speicher Ihres Browsers ab (Eintrag cs-cookie-consent), damit der Hinweis nicht bei jedem Aufruf erscheint. Dieser Eintrag ist für die von Ihnen gewünschte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können ihn jederzeit in Ihrem Browser löschen.

Kundenportal

Für die Abwicklung Ihres Projekts stellen wir Ihnen ein Kundenportal bereit. Sie erreichen es über einen persönlichen, zufällig erzeugten Link. Bitte behandeln Sie ihn wie ein Passwort. Im Portal verarbeiten wir Ihre Antworten im Fragebogen, Ihre Auswahl im Moodboard, Nachrichten, Rückmeldungen zu Entwürfen und die Dateien, die Sie hochladen, um Ihre Website zu erstellen (Art. 6 Abs. 1 lit. b DSGVO).

Im Moodboard und in einigen Entwürfen zeigen wir Bilder aus der Bilddatenbank Unsplash. Diese Bilder lädt Ihr Browser direkt von den Servern von Unsplash; dabei erhält Unsplash Ihre IP-Adresse und die Kennung Ihres Browsers. Die Nutzungsbedingungen von Unsplash sehen vor, dass die Bilder von dort geladen und nicht auf eigenen Servern abgelegt werden. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer rechtssicheren Bildauswahl (Art. 6 Abs. 1 lit. f DSGVO).

4. E-Mail-Kommunikation

Unseren Mailserver betreiben wir selbst, auf unserem Server bei der netcup GmbH in Deutschland. Über ihn laufen die E-Mails an uns und von uns. Eingehende Antworten werten wir teilweise automatisiert aus, etwa um Abmeldungen sicher zu erkennen, und benachrichtigen den Inhaber über ihren Eingang. Welche Dienstleister dabei beteiligt sind, steht in den Abschnitten 6 und 8.

Rechtsgrundlage ist die Durchführung und Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an einer zuverlässigen, selbst betriebenen E-Mail-Infrastruktur (Art. 6 Abs. 1 lit. f DSGVO).

5. Reichweitenmessung mit Plausible

Wir messen auf dieser Website zwei Dinge, und Sie entscheiden einzeln darüber: die Reichweite (dieser Abschnitt) und den Erfolg unserer Werbung (Abschnitt 5a). Beides läuft nur, wenn Sie es im Cookie-Hinweis einschalten.

Für die Reichweitenmessung nutzen wir Plausible Analytics. Plausible läuft auf unserem eigenen Server bei der netcup GmbH in Deutschland (analytics.cross-studio.de); die Daten gehen an keinen anderen Anbieter. Plausible zählt, welche Seiten aufgerufen werden, von welcher Website Besucher kommen, aus welchem Land und mit welchem Browser- und Gerätetyp. Plausible setzt keine Cookies und speichert keine IP-Adressen. Um Besuche zu zählen, bildet es aus IP-Adresse und Browserkennung einen Kennwert, der täglich wechselt.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen: Öffnen Sie unten auf jeder Seite „Cookie-Einstellungen“ und schalten Sie die Messung aus.

5a. Werbeerfolgsmessung mit Google Analytics und Google Ads

Wenn Sie die Werbeerfolgsmessung einschalten, nutzen wir Google Analytics und Google Ads der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google Ads wertet aus, ob ein Klick auf eine unserer Anzeigen zu einer Anfrage geführt hat; Google Analytics zeigt uns, welche Seiten Besucher aus unseren Anzeigen aufrufen.

Dafür setzen Google Analytics und Google Ads Cookies und verarbeiten Ihre IP-Adresse, die aufgerufenen Seiten, Angaben zu Gerät und Browser, die Kennung eines Anzeigenklicks und ausgelöste Ereignisse wie das Absenden des Kontaktformulars. Die Mess-ID dieser Website lautet G-SC0MZHGX8W.

Dabei werden Daten auch an die Google LLC in den USA übermittelt. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen: Öffnen Sie unten auf jeder Seite „Cookie-Einstellungen“ und schalten Sie die Messung aus. Die Cookies, die unsere Website dafür gesetzt hat, löschen wir dabei. Cookies, die Google unter eigenen Adressen setzt, löschen Sie in Ihrem Browser. Weitere Informationen finden Sie in der Datenschutzerklärung von Google.

6. KI-Dienste

Wir setzen KI-Modelle der Anthropic PBC (548 Market Street, PMB 90375, San Francisco, CA 94104, USA) ein.

• Für Kunden und Interessenten, die bei uns anfragen, erstellen wir mit KI Entwürfe für Texte, Gestaltung und Programmcode Ihrer Website, prüfen diese Entwürfe und werten Referenz-Websites und Bilder aus, die Sie uns nennen oder hochladen. Verarbeitet werden Angaben zu Ihrem Unternehmen und die Inhalte, die auf Ihrer Website erscheinen sollen, einschließlich der dort anzuzeigenden Kontaktangaben (Art. 6 Abs. 1 lit. b DSGVO).
• Für Betriebe, die wir von uns aus ansprechen, werten wir öffentliche Angaben zum Betrieb und die Inhalte seiner Website aus, erstellen daraus gegebenenfalls einen Entwurf für eine neue Website und ordnen Antworten auf unsere Nachrichten ein, etwa ob jemand keine weiteren Nachrichten wünscht (Art. 6 Abs. 1 lit. f DSGVO).

Für diese Verarbeitungen nutzen wir die Programmierschnittstelle (API) von Anthropic. Dafür gelten die geschäftlichen Nutzungsbedingungen von Anthropic; Bestandteil ist ein Auftragsverarbeitungsvertrag mit den Standardvertragsklauseln der EU-Kommission (Art. 28, Art. 46 Abs. 2 lit. c DSGVO). Nach diesen Bedingungen verwendet Anthropic die übermittelten Daten nicht zum Training seiner Modelle.

7. Programmcode und Sicherungen bei GitHub

Den Programmcode jeder Kunden-Website verwalten wir in einem privaten Repository bei GitHub (GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA). Dort liegen der Code und die Inhalte der Website einschließlich der Angaben, die auf ihr veröffentlicht werden, etwa im Impressum. In einem weiteren privaten Repository liegen verschlüsselte Sicherungen unserer Datenbank und der hochgeladenen Dateien (Abschnitt 12).

Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer ausfallsicheren Sicherung (Art. 6 Abs. 1 lit. f DSGVO). Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Das Repository Ihrer Website löschen wir nach Ende von Gewährleistung und Betreuung oder vorher auf Ihren Löschantrag.

8. Benachrichtigungen des Inhabers

Damit Anfragen und Freigaben ohne Verzögerung bearbeitet werden, erhält der Inhaber kurze Push-Benachrichtigungen über Telegram (Telegram Messenger Inc., Britische Jungferninseln). Eine Benachrichtigung enthält ausschließlich eine interne Vorgangsnummer, die Art des Ereignisses und einen Link in unser zugangsgeschütztes Verwaltungssystem, bei technischen Meldungen außerdem Kennzahlen oder Fehlerangaben. Rechtsgrundlage ist unser berechtigtes Interesse an einer schnellen Bearbeitung (Art. 6 Abs. 1 lit. f DSGVO).

Schreibt der Inhaber unterwegs über Telegram eine kurze Antwort an einen Kunden oder korrigiert er dort den Text einer E-Mail, läuft dieser Text über Telegram in unser System.

8a. Daten von Betrieben, die wir von uns aus ansprechen

Wir führen eine interne Liste von Betrieben, deren Website wir für eine Ansprache in Frage ziehen. Diese Daten stammen nicht von Ihnen, sondern aus öffentlich zugänglichen Quellen. Weil sie nicht bei Ihnen selbst erhoben wurden, informieren wir Sie hier nach Art. 14 DSGVO.

• Herkunft: das offene Kartenverzeichnis OpenStreetMap, die Treffer einer Suchmaschine und die öffentlich abrufbare Website des Betriebs einschließlich ihres Impressums. Die Datenschutzerklärung und weitere Rechtsseiten der Website lesen wir nur darauf, ob Sie der Nutzung Ihrer Daten für Werbung widersprechen. Hinzu kommt unsere eigene Beobachtung vor Ort, etwa an Schild, Schaufenster oder Fahrzeugbeschriftung des Betriebs.
• Welche Daten: Firmenname, Anschrift, Telefonnummer, E-Mail-Adresse, Adresse der Website, die im Impressum genannte Person, öffentliche Inhalte der Website sowie eine technische Auswertung der Website (Ladezeit, Darstellung auf Mobilgeräten, Auffindbarkeit) samt Bildschirmfotos der öffentlich sichtbaren Seiten. Hinzu kommen die Rechtsform, wie sie aus dem Firmennamen hervorgeht, das Ergebnis unserer Prüfung, ob Ihre Website der Nutzung Ihrer Daten für Werbung widerspricht (bei möglichen Treffern die betreffenden Textstellen bis zu unserer Entscheidung, bei einem Widerspruch dessen Wortlaut), und unsere Einschätzung, ob eine neue Website für Ihren Betrieb sinnvoll wäre, mit den Textstellen und Messwerten, auf die sie sich stützt. Bitten Sie uns um einen Rückruf, speichern wir die Nummer, die Sie uns dafür nennen, sowie Wortlaut und Datum Ihrer Bitte.
• Zweck und Rechtsgrundlage: Wir prüfen, ob eine Zusammenarbeit sinnvoll wäre, und schreiben ausgewählte Betriebe per Brief an. Per E-Mail schreiben wir nur Betriebe an, die uns dazu ihre Einwilligung gegeben haben. Wir rufen Sie nur an, wenn Sie uns um einen Rückruf gebeten haben, und nur unter der Nummer, die Sie uns dafür genannt haben. Ausgewählte Betriebe mit Ladenlokal oder Publikumsverkehr suchen wir außerdem persönlich auf, um sie zu unserem Angebot anzusprechen. Die Einschätzung, ob eine neue Website sinnvoll wäre, erstellt ein KI-Dienst aus den öffentlichen Inhalten Ihrer Website, ohne Kontaktdaten und ohne Impressum; die Entscheidung treffen wir selbst. Grundlage ist unser berechtigtes Interesse an der Werbung für unsere Leistungen gegenüber Unternehmen (Art. 6 Abs. 1 lit. f DSGVO).
• Entwürfe: Erstellen wir für einen Betrieb einen persönlichen Entwurf, speichern wir, ob der Link dazu aufgerufen wurde, und löschen diese Angabe mit den übrigen Daten des Betriebs.
• Speicherdauer: Wir löschen die Angaben spätestens 12 Monate nach der letzten Prüfung. Das gilt auch für unsere Einschätzung und das Ergebnis der Widerspruchsprüfung. Entscheiden wir, dass kein Widerspruch vorliegt, löschen wir dabei die Textstellen aus dieser Prüfung. Rückrufbitten löschen wir mit den übrigen Angaben des Betriebs, eine Bitte aus dem Kontaktformular mit Ihrer Anfrage (Abschnitt 12). Bildschirmfotos löschen wir nach 90 Tagen. Widersprechen Sie, löschen wir Ihre Angaben und behalten nur die Adresse der Website, gegebenenfalls die E-Mail-Adresse, und den Grund auf einer Sperrliste, damit wir Sie nicht erneut ansprechen. Schließen wir einen Betrieb von uns aus dauerhaft aus, gilt dasselbe spätestens nach Ablauf der 12 Monate.
• Empfänger: Zur Verarbeitung setzen wir Dienstleister ein: eine Suchmaschine zum Auffinden der Website, einen KI-Dienst zur Auswertung von Website-Inhalten und Antworten und für Entwürfe, einen Dienst für interne Benachrichtigungen, der nur Vorgangsnummern erhält, und GitHub für verschlüsselte Sicherungen. Namen, Sitz und Übermittlungsgrundlage stehen in der Liste unserer Dienstleister.
• Liste der Besuche und Briefe: Zur Vorbereitung persönlicher Besuche und von Briefen führen wir eine gesonderte Liste. Sie enthält Firmenname, Ort, Branche, die Rechtsform laut Firmenname, bei Briefen die Postanschrift, unsere Beobachtungen zum öffentlich sichtbaren Zustand Ihrer Website mit Stand und dem beobachteten Anlass, unsere Einordnung dazu (wie sicher die Beobachtung ist und ob ein Personenbezug besteht), das Ergebnis unserer Prüfung, ob Ihre Website der Nutzung Ihrer Daten für Werbung widerspricht (bei einem Widerspruch mit dessen Wortlaut), die Quelle mit Fundstelle und Abrufdatum, das Datum des Besuchs mit einem kurzen Vermerk zum Ergebnis, etwa „kein Interesse“, oder einen Vermerk über den Versand des Briefs mit einer Kopie und, wenn Sie widersprechen, einen Eintrag auf unserer Werbesperrliste. Den Eintrag behalten wir, damit wir Sie nicht erneut ansprechen. Hierfür gilt statt der Speicherdauer oben: Angaben zu Betrieben der Rechtsform GmbH, UG oder AG ohne Personennamen im Firmennamen löschen wir, wenn sechs Monate lang kein Kontakt stattgefunden hat. Alle übrigen Betriebe behandeln wir wie Betriebe mit Personenbezug, etwa Einzelunternehmen oder Betriebe mit einem Personennamen im Firmennamen: Wir löschen ihre Angaben 30 Tage nach der Erhebung, nach einem Gespräch sechs Monate nach dem letzten Kontakt. Jeder weitere Kontakt setzt die Frist neu.

Sie können der Nutzung Ihrer Daten für unsere Werbung jederzeit widersprechen, siehe Widerspruchsrecht in Abschnitt 9.

8b. Kostenloser Website-Check

Über das Formular auf der Seite Website-Check können Sie eine Adresse eintragen und erhalten eine technische Einschätzung dazu. Wir speichern die eingegebene Adresse, Ihre E-Mail-Adresse und, falls angegeben, Ihren Namen und Ihren Firmennamen. Zweck ist die Erstellung und Zusendung der Einschätzung; Rechtsgrundlage ist die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO).

Weitere E-Mails erhalten Sie nur, wenn Sie das gesondert angekreuzt und bestätigt haben. Derzeit verschicken wir keine Nachfass-Mails zum Website-Check. Entsteht aus dem Check keine Anfrage, löschen wir Ihre Angaben sechs Monate nach Zusendung der Einschätzung.

9. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Art. 15: Auskunft über die zu Ihrer Person gespeicherten Daten
• Art. 16: Berichtigung unrichtiger Daten
• Art. 17: Löschung
• Art. 18: Einschränkung der Verarbeitung
• Art. 20: Datenübertragbarkeit (Export in maschinenlesbarem Format)
• Art. 21: Widerspruch (siehe Kasten)
• Art. 7 Abs. 3: Widerruf einer Einwilligung mit Wirkung für die Zukunft
• Art. 77: Beschwerde bei einer Datenschutz-Aufsichtsbehörde (für Niedersachsen: Die Landesbeauftragte für den Datenschutz Niedersachsen)

Datenexport und Löschantrag für Kunden

Als Kunde mit einem Projekt bei uns können Sie einen Datenexport oder die Löschung Ihrer Projektdaten formlos per E-Mail an hallo@cross-studio.de beantragen:

• Datenexport (Art. 15 und 20): Sie erhalten eine ZIP-Datei mit den zu Ihrem Projekt gespeicherten Daten (unter anderem Fragebogen, Moodboard, Briefing, Entwürfe, Nachrichten, E-Mails, Rechnungen, Aktivitätsprotokoll) im JSON-Format und Ihre hochgeladenen Dateien im Original.
• Löschantrag (Art. 17): Sie erhalten eine Bestätigungsmail und haben 14 Tage Zeit, einen versehentlich gestellten Antrag über den Link darin zurückzunehmen. Danach löschen wir die Projektdaten, Ihre hochgeladenen Dateien, die Entwürfe und die Website auf unseren Servern sowie das Repository mit dem Programmcode.

Rechnungen und andere Buchungsbelege bewahren wir für die Dauer der steuerlichen Aufbewahrungspflicht auf, derzeit acht Jahre; Angebote und sonstige Geschäftskorrespondenz sechs Jahre, jeweils ab Ende des Kalenderjahres (§ 147 Abs. 3 AO). Stellen Sie einen Löschantrag, löschen wir alle übrigen Daten und sperren diese Unterlagen: Wir nutzen sie nur noch für unsere Aufbewahrungspflichten und löschen sie nach Fristablauf (Art. 17 Abs. 3 lit. b und e DSGVO).

Für alle anderen Anliegen erreichen Sie uns unter hallo@cross-studio.de. Wir antworten spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

10. Hosting

Diese Website, das Kundenportal, unser Mailserver, die Reichweitenmessung und unsere Datenbank laufen auf einem Server, den wir bei der netcup GmbH (Emmy-Noether-Straße 10, 76131 Karlsruhe) gemietet haben. Der Server steht in einem Rechenzentrum in Deutschland. Die fertigen Websites unserer Kunden veröffentlichen wir auf demselben Server.

11. Verschlüsselte Verbindung

Diese Website überträgt alle Inhalte verschlüsselt (TLS). Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresse mit „https://“ beginnt.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder eine gesetzliche Pflicht es verlangt (Art. 5 Abs. 1 lit. e DSGVO). Im Einzelnen:

• Anfragen ohne Auftrag und Website-Checks ohne anschließende Anfrage: 6 Monate nach dem letzten Kontakt. Diese Löschung nehmen wir derzeit von Hand vor. Auf Wunsch löschen wir sofort.
• Als Spam eingestufte Formular-Eingaben: Sie landen in einer getrennten Ablage und werden nicht beantwortet. Wir löschen sie automatisch 30 Tage nach der Bestätigung als Spam, ungesichtete Eingaben spätestens 90 Tage nach Eingang. Gespeichert werden der Inhalt der Eingabe, die IP-Adresse und die Browserkennung, um wiederkehrende Absender zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). IP-Adressen, die wir als Spamquelle sperren, löschen wir 12 Monate nach dem letzten Treffer.
• Projekt- und Portaldaten: bis zum Ende des Projekts und einer etwaigen Betreuung; danach löschen wir sie innerhalb von 90 Tagen. Diese Löschung nehmen wir derzeit von Hand vor. Unterlagen zum Nachweis unserer Leistung (Briefing, Freigaben, Abnahme und die Nachrichten dazu) bewahren wir gesperrt auf, bis Ansprüche aus dem Vertrag verjährt sind.
• Rechnungen und andere Buchungsbelege: für die Dauer der steuerlichen Aufbewahrungspflicht, derzeit acht Jahre; Angebote und sonstige Geschäftskorrespondenz: sechs Jahre, jeweils ab Ende des Kalenderjahres (§ 147 Abs. 3 AO). Die Fristen verlängern sich, solange die Unterlagen für eine noch nicht verjährte Steuerfestsetzung von Bedeutung sind.
• Übrige E-Mails: 36 Monate nach dem Versand.
• Aktivitätsprotokoll unseres Verwaltungssystems: 12 Monate ab Eintrag im laufenden System, danach weitere 24 Monate in einem Archiv. Es dient der Nachvollziehbarkeit und Sicherheit und wird nicht regelmäßig ausgewertet.
• Server-Protokolle: siehe Abschnitt 3, bis zu etwa vier Monate.
• Daten von Betrieben, die wir von uns aus ansprechen: siehe Abschnitt 8a.
• Sicherungen: Wir sichern unsere Datenbank jede Nacht verschlüsselt (AES-256). Auf unserem Server bewahren wir jede Sicherung 30 Tage auf und löschen sie dann. Verschlüsselte Sicherungen der Datenbank und der hochgeladenen Dateien liegen zusätzlich in einem privaten Repository bei GitHub (Abschnitt 7). Dort bleiben ältere Sicherungen in der Versionsgeschichte erhalten, bis wir den Schlüssel wechseln und den alten vernichten; ohne diesen Schlüssel sind sie nicht lesbar. Gelöschte Daten verschwinden deshalb nach 30 Tagen aus den Sicherungen auf unserem Server, aus den verschlüsselten Sicherungen bei GitHub erst mit einem solchen Schlüsselwechsel.

Die Löschung von Aktivitätsprotokoll, E-Mails, Spam-Ablage und gesperrten IP-Adressen läuft täglich automatisch. Löschanträge nach Art. 17 DSGVO werden ebenfalls automatisch abgearbeitet, mit einer Frist von 14 Tagen, in der Sie einen versehentlich gestellten Antrag zurücknehmen können.

13. Auftragsverarbeitung für Kunden-Websites

Wenn wir die Website eines Kunden erstellen, betreiben oder ihre Formulare weiterleiten, verarbeiten wir personenbezogene Daten im Auftrag des Kunden, etwa Daten von Besuchern oder Formulareingaben. In diesen Fällen ist Cross Studio Auftragsverarbeiter im Sinne von Art. 28 DSGVO; verantwortlich ist der Kunde. Formulareingaben auf Kunden-Websites leiten wir per E-Mail an den Kunden weiter und speichern ihre Inhalte nicht.

Der Auftraggeber erhält von uns einen Auftragsverarbeitungsvertrag (AV-Vertrag) als PDF. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die betroffenen Personen und Datenarten, die technischen und organisatorischen Maßnahmen, die Unterauftragsverarbeiter und die Rechte des Auftraggebers. Welche Dienstleister wir einsetzen, steht in der Liste unserer Dienstleister.