Datenschutzerklärung

1. Verantwortlicher

Robert Oberdorfer
Asternweg 49
32676 Lügde
E-Mail: wohinziehen@posteo.de
Kontaktformular: wohinziehen.de/kontakt

2. Erhobene Daten

Wir verarbeiten folgende personenbezogene Daten:

• E-Mail-Adresse — für die Anmeldung und Kontoverwaltung
• IP-Adresse — in Server-Logs und für Rate-Limiting (Missbrauchsschutz)
• Session-Cookie — technisch notwendig für die Authentifizierung (httpOnly)
• Analyse-Cookies (First-Party) — zufällige pseudonyme Besucher- und Besuchs-Token zur Reichweiten-, Journey- und Funnel-Messung (ohne Demografie- oder Werbeprofile). Werden nur mit Ihrer Einwilligung gesetzt. Im Einzelnen:
  • analytics_visitor_token — 1 Jahr Laufzeit — HTTPOnly + Encrypted
  • analytics_visit_token — 30 Minuten Laufzeit — HTTPOnly + Encrypted
  • analytics_landing_path — 30 Minuten Laufzeit — HTTPOnly + Encrypted
• Marketing-Cookies / Google Ads — bei Ihrer Einwilligung nutzen wir das Google tag für die Messung von Google Ads-Kampagnen und Käufen. Dabei können Google-Ads-Kennungen wie _gcl_au oder vergleichbare Cookie-Werte verarbeitet werden.
• Serverseitiger Landing-Nachweis für Google Ads — bei erteilter Marketing-Einwilligung speichern wir beim ersten Aufruf einer Anzeigen-Landing-Page einen minimalen serverseitigen Nachweis mit Seitenpfad, Referrer-Domain, UTM-Parametern, Browser-Typ sowie Google-Klickkennungen wie gclid, gbraid, wbraid oder gad_source. Wir speichern dabei keine IP-Adresse, keinen vollständigen Query-String und kein dauerhaftes Marketing-Profil.
• Cookie-Consent-Cookies — cookie_consent und cookie_consent_version (jeweils 1 Jahr Laufzeit, SameSite=Lax), speichern Ihre Einwilligungspräferenz und den Stand der zugehörigen Datenschutzinformationen.
• Cookie-Einwilligungsprotokoll (ConsentLog) — Zeitpunkt und Art der Einwilligung (analytics_marketing/marketing/analytics/essential), pseudonymer Besucher-Token und gehashte IP-Adresse zum Nachweis gem. Art. 7 Abs. 1 DSGVO.
• Browser-Typ (User-Agent) — bei aktivierten Analyse-Cookies (Art. 6 Abs. 1 lit. a DSGVO) als Teil der Reichweitenmessung gespeichert; ansonsten nicht erhoben
• Nutzungsdaten — bei aktivierten Analyse-Cookies Seitenpfad, Landing-Page, Referrer-Domain, Zeitstempel, optionale freigegebene UTM-Parameter (z. B. utm_source, utm_campaign) und Funnel-Interaktionen. Unbekannte Query-Parameter und vollständige Referrer-URLs werden nicht gespeichert.
• Seitenfolgen und Engagement — Seitenaufrufe innerhalb eines 30-minütigen Besuchs werden über das pseudonyme Besuchs-Token zeitlich geordnet. Zusätzlich speichern wir höchstens einmal je geladener Seite, ob sie mindestens 20 Sekunden sichtbar war oder nach einer Scroll-Interaktion zu mindestens 50 % betrachtet wurde. Wir speichern keine exakte Verweildauer und keine einzelnen Scrollpositionen.
• Google-Ads-Conversiondaten — bei erteilter Marketing-Einwilligung und Abschluss eines Kaufs können Bestellwert, Währung und Transaktions-ID an Google übermittelt werden, um den Kauf einem Anzeigenklick zuzuordnen.
• Passwort — wird ausschließlich als kryptographischer Hash (bcrypt) gespeichert. Wir haben keinen Zugriff auf Ihr Klartext-Passwort.
• Stripe-Kunden-ID — beim Start und Abschluss eines kostenpflichtigen Kaufs, zur Verwaltung des Zahlungsvorgangs. Beim Checkout-Start wird für neue Käufer anhand der eingegebenen E-Mail-Adresse ein Stripe-Kunde angelegt. Nach einem bestätigten Kauf speichern wir die von Stripe übermittelte Kunden-ID.
• Vertragliche Zustimmungszeitpunkte — Zeitpunkt der Zustimmung zu Nutzungsbedingungen und des Widerrufsrechtsverzichts beim Kauf eines kostenpflichtigen Zugangs (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und Nachweis)

3. Zweck und Rechtsgrundlage

• Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO — Vertragsdurchführung)
• Sicherheit und Missbrauchsschutz durch Rate-Limiting (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
• Pseudonymisierte Reichweiten-, Journey-, Engagement- und Funnel-Messung zur Verbesserung der Website; Auswertungen werden aggregiert dargestellt (Art. 6 Abs. 1 lit. a DSGVO — Einwilligung)
• Messung von Google Ads-Kampagnen, Anzeigen-Landings und Käufen nach Interaktionen mit Google-Anzeigen (Art. 6 Abs. 1 lit. a DSGVO — Einwilligung)

Die Einwilligung in Analyse- und Marketing-Cookies ist freiwillig und hat keinen Einfluss auf die Nutzung des Dienstes.

4. Hosting und Drittanbieter

Diese Website wird bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) gehostet. Beim Aufruf der Seite werden automatisch Server-Logdaten erfasst (IP-Adresse, Zeitpunkt, angeforderte Seite, Browser-Typ). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung des Dienstes). Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit Hetzner.

Für die Kartendarstellung werden Karten-Tiles von CARTO (CartoDB, Inc., USA) über das Fastly CDN (Fastly, Inc., USA) geladen. Dabei werden Ihre gekürzte IP-Adresse, Referrer, Browser-Kennung, Zeitpunkt und Abrufmenge an CARTO übermittelt. CARTO verarbeitet diese Abrufdaten als Auftragsverarbeiter für Betrieb, Sicherheit, Missbrauchsschutz und Nutzungslimits; die gekürzten Abrufprotokolle werden 30 Tage gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kartenfunktionalität). Mit CARTO besteht ein Auftragsverarbeitungsvertrag. Datenübermittlung in die USA: CARTO auf Grundlage von EU-Standardvertragsklauseln und, soweit anwendbar, des EU-US Data Privacy Framework; Fastly auf Grundlage des EU-US Data Privacy Framework.

Diese Website nutzt Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) als CDN- und DNS-Provider. Bei jedem Seitenaufruf wird Ihre IP-Adresse an Cloudflare-Server übermittelt, die sich auch in den USA befinden können. Rechtsgrundlage für die Datenübermittlung in die USA: Angemessenheitsbeschluss der EU-Kommission gem. Art. 45 DSGVO (EU-US Data Privacy Framework). Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit Cloudflare. Weitere Informationen: Cloudflare-Datenschutzerklärung.

Für den E-Mail-Versand nutzen wir Resend (Resend, Inc., USA) als E-Mail-Dienstleister. Dabei werden Ihre E-Mail-Adresse und die Inhalte der Transaktions-E-Mails an Resend übermittelt. Die Datenübermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO). Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit Resend. Weitere Informationen: Resend-Datenschutzerklärung.

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry (Functional Software, Inc., USA). Bei einem Anwendungsfehler werden automatisch technische Diagnosedaten an Sentry übermittelt: Fehlermeldung, Stack-Trace, Request-URL, Browser-/Betriebssystem-Informationen und IP-Adresse (auf Transportebene). Personenbezogene Nutzerdaten (E-Mail, Name) werden nicht übermittelt (send_default_pii: false). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Stabilität und Fehlerbehebung des Dienstes). Datenübermittlung in die USA: EU-US Data Privacy Framework (Art. 45 DSGVO). Es besteht ein Auftragsverarbeitungsvertrag (AVV) mit Sentry. Weitere Informationen: Sentry-Datenschutzerklärung.

Für die Reichweitenmessung verwenden wir weiterhin eigene First-Party-Analytics auf unseren Servern. Zusätzlich nutzen wir bei Ihrer Einwilligung in Marketing-Cookies das Google tag / Google Ads Conversion Tracking von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei messen wir, ob ein Kauf nach einer Interaktion mit einer Google-Anzeige erfolgt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Im Rahmen dieser Messung können technische Browserdaten, Google-Klickkennungen sowie Kaufdaten wie Bestellwert, Währung und Transaktions-ID an Google übermittelt werden. Zusätzlich übermitteln wir Consent-Signale, damit Google die Messung anhand Ihrer Auswahl für Analyse- und Marketing-Cookies steuern kann. Daten können dabei auch an Google LLC in den USA übertragen werden. Rechtsgrundlage für die Übermittlung ist das EU-US Data Privacy Framework (Art. 45 DSGVO). Wir nutzen in diesem Schritt kein Remarketing, keine Customer-Match-Listen, keine demografischen Nutzerprofile und keine personalisierte Werbung.

Bei Ihrer Einwilligung in Marketing-Cookies nutzen wir außerdem den ChatGPT Ads Measurement Pixel von OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Wir messen damit, ob nach einer Interaktion mit einer ChatGPT-Anzeige ein Vorschauergebnis erzeugt, ein Checkout gestartet oder ein Kauf abgeschlossen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Dabei können technische Browser- und Seiteninformationen, die OpenAI-Klickreferenz (oppref), Ereigniszeitpunkt und Ereignisart sowie beim Checkout und Kauf Tarif, Bestellwert, Währung und eine pseudonyme Bestellreferenz an OpenAI übermittelt werden. Der von OpenAI bereitgestellte automatische erweiterte Abgleich kann unterstützte Kundeninformationen auf der Website erkennen, im Browser normalisieren und mit SHA-256 hashen, um Conversions Anzeigen zuzuordnen. Dabei kann insbesondere ein Hash der eingegebenen E-Mail-Adresse übermittelt werden; die E-Mail-Adresse im Klartext wird nach Angaben von OpenAI durch diesen Abgleich nicht an OpenAI gesendet. Wir übergeben dem Pixel selbst keine Kontakt- oder Namensdaten im Klartext. OpenAI Ireland Limited kann Daten zur Bereitstellung der Werbemessung außerhalb des EWR verarbeiten lassen und nutzt dafür nach eigenen Angaben gültige Übermittlungsmechanismen. Weitere Informationen finden Sie im Zusatz zur Datenverarbeitung für Werbetools und in der Datenschutzerklärung von OpenAI.

Zusätzlich führen wir auf unseren eigenen Servern einen minimalen Landing-Nachweis, um Google-Ads-Klicks gegen tatsächlich geladene Landing-Pages abgleichen zu können. Dieser Nachweis dient ausschließlich der Kampagnenmessung und Reconciliation von Anzeigenklicks zu tatsächlichen Landings.

5. Zahlungsabwicklung (Stripe)

Für die Zahlungsabwicklung setzen wir Stripe ein (Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA). Stripe verarbeitet Ihre Zahlungsdaten als eigenständiger Verantwortlicher im Sinne der DSGVO. Rechtsgrundlage für die Übermittlung Ihrer Daten an Stripe: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Datenübermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023).

Beim Start des Checkouts übermitteln wir die eingegebene E-Mail-Adresse an Stripe und legen für neue Käufer einen Stripe-Kunden an. Dadurch ist diese E-Mail-Adresse im Stripe-Checkout vorbelegt und kann dort nicht geändert werden. Kartendaten werden nicht auf unseren Servern gespeichert. Nach einem bestätigten Kauf speichern wir die von Stripe übermittelte Kunden-ID, um den Zahlungsvorgang und den bezahlten Zugang zu verwalten.

Weitere Informationen zur Datenverarbeitung durch Stripe finden Sie in der Stripe-Datenschutzerklärung.

6. Kontaktformular

Bei Nutzung des Kontaktformulars verarbeiten wir Ihre Angaben (Name, E-Mail, Nachricht) zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Die Daten werden nicht in einer Datenbank gespeichert, sondern per E-Mail an uns weitergeleitet.

Wenn Sie den persönlichen Wohnort-Check beauftragen, speichern wir Ihre E-Mail-Adresse, Ihre Intake-Angaben, den Bearbeitungsstatus und technische Zahlungsreferenzen von Stripe in unserer Datenbank, damit Zahlung und Angaben zuverlässig verbunden werden können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Zahlungsabwicklung erfolgt über Stripe; vollständige Zahlungsdaten wie Kartennummern speichern wir nicht.

7. Speicherdauer

• Session-Daten: maximal 30 Tage
• Server-Logs (inkl. IP): maximal 14 Tage
• Interne Analytics-Daten (Besucher-/Besuchs-Token, Seitenaufrufe, Seitenfolgen, Engagement- und Funnel-Ereignisse, Referrer-Domain/UTM): maximal 12 Monate
• Serverseitige Marketing-Landing-Nachweise: maximal 12 Monate
• Kontodaten: bis zur Löschung des Accounts
• Cookie-Einwilligungsprotokolle (ConsentLog): maximal 3 Jahre (Nachweis gem. Art. 7 Abs. 1 DSGVO)
• Rechnungsdaten bei Stripe: gemäß gesetzlicher Aufbewahrungspflichten (bis zu 10 Jahre, § 147 AO, § 257 HGB)
• Kontaktanfragen per E-Mail: bis zur abschließenden Bearbeitung, maximal 6 Monate
• Persönlicher Wohnort-Check: für Vertragsabwicklung, Nachfragen, Erstattung und steuerliche Nachweise nach den gesetzlichen Aufbewahrungsfristen
• Passwort-Reset-Token: Wird nicht in der Datenbank gespeichert, ist kryptographisch signiert und nach 2 Stunden oder einer Passwortänderung ungültig.
• Fehlerberichte (Sentry): maximal 90 Tage

Sie können Ihr Konto jederzeit selbst löschen unter Konto verwalten. Alternativ senden Sie eine E-Mail an wohinziehen@posteo.de. Wir löschen Ihre Daten unverzüglich, in der Regel innerhalb von 14 Tagen.

8. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Mitteilung an Empfänger bei Berichtigung oder Löschung (Art. 19 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

9. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.

10. Pflicht zur Bereitstellung der Daten

Die Bereitstellung Ihrer E-Mail-Adresse und eines Passworts ist für die Registrierung und die Nutzung des Dienstes erforderlich (Art. 13 Abs. 2 lit. e DSGVO). Ohne diese Angaben können wir Ihnen keinen Zugang gewähren. Die Nutzung des Kontaktformulars erfordert mindestens eine E-Mail-Adresse und eine Nachricht.

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt.

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit NRW, Kavalleriestr. 2-4, 40213 Düsseldorf, https://www.ldi.nrw.de

13. Widerruf der Einwilligung

Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt. Den Widerruf Ihrer Einwilligung in Analyse- und Marketing-Cookies können Sie jederzeit über den Link Cookie-Einstellungen im Footer dieser Website vornehmen. Beim Widerruf werden Analyse-Cookies serverseitig gelöscht, vorhandene Seitenaufrufe und Analytics-Ereignisse zum aktuellen Besucher-Token entfernt, vorhandene serverseitige Marketing-Landing-Nachweise zum aktuellen Landing-Token gelöscht und bekannte Google-Ads- sowie ChatGPT-Ads-Cookies (einschließlich __oppref) nach Möglichkeit entfernt.