Datenschutzerklärung

Schön, dass du hier bist. Auf dieser Seite erfährst du, welche personenbezogenen Daten ich verarbeite, wozu, auf welcher Rechtsgrundlage und wie lange. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst.

1) Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Christopher Hellstern, Christopher Hellstern helly systems
Bruchhöfe 142, 47829 Krefeld, Deutschland
Tel.: 0177 9328972
E-Mail: christopher@hellysystems.de

helly systems ist ein Einzelunternehmen ohne Beschäftigte. Ein Datenschutzbeauftragter ist deshalb nach § 38 BDSG nicht zu benennen. Für alle Datenschutzanliegen erreichst du mich direkt unter den oben genannten Kontaktdaten.

2) Hosting und Server-Logfiles

Diese Website wird bei der STRATO AG, Berlin, Deutschland, gehostet. Die Server stehen in Deutschland. Mit STRATO besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim bloßen Aufruf dieser Website erhebt der Server automatisch die Daten, die dein Browser übermittelt (sogenannte Server-Logfiles):

• aufgerufene Seite
• Datum und Uhrzeit des Zugriffs
• übertragene Datenmenge
• Quelle/Verweis, von der du gekommen bist
• verwendeter Browser und verwendetes Betriebssystem
• IP-Adresse

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website. Die Logfiles werden nach 7 Tagen gelöscht, es sei denn, es gibt konkrete Anhaltspunkte für eine rechtswidrige Nutzung; dann werden die betroffenen Einträge bis zur Klärung des Vorfalls aufbewahrt. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt.

Die Übertragung erfolgt durchgehend TLS-verschlüsselt; erkennbar am „https://“ und dem Schloss-Symbol in der Adresszeile deines Browsers.

3) Cookies und Speicherung auf deinem Endgerät

Ohne deine Einwilligung setzt diese Website keine Cookies zu Analyse- oder Werbezwecken und lädt beim Seitenaufruf keine Inhalte von Drittanbietern. Alle Skripte und Schriftarten werden vom eigenen Server ausgeliefert.

Technisch notwendig speichere ich im lokalen Speicher deines Browsers nur: deine Entscheidung im Cookie-Banner (cstack_consent_analytics mit Zeitpunkt cstack_consent_ts) und deine Wahl zwischen hellem und dunklem Design (cstack-theme). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; ohne diese Einträge würde der Banner bei jedem Seitenaufruf erneut erscheinen bzw. das Design zurückspringen. Du kannst die Einträge jederzeit über die Einstellungen deines Browsers löschen.

Google Analytics wird nur geladen, wenn du im Cookie-Banner auf „Alle akzeptieren“ klickst. Details dazu in Abschnitt 5.

Eingebettete Dienste von Drittanbietern – konkret die Terminbuchung über Cal.com – werden erst dann geladen, wenn du sie aktiv anklickst. Vorher wird keine Verbindung zu diesen Anbietern aufgebaut und keine Information an sie übermittelt. Details dazu in Abschnitt 6.

4) Kontaktaufnahme

Wenn du mich über das Projektanfrage-Formular, per E-Mail, per Telefon oder über WhatsApp kontaktierst, verarbeite ich die von dir übermittelten Daten – Name, E-Mail-Adresse oder Telefonnummer und den Inhalt deiner Nachricht – ausschließlich, um deine Anfrage zu beantworten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Beantwortung deiner Anfrage eine vorvertragliche Maßnahme auf deine Anfrage hin ist. Zielt deine Nachricht nicht auf einen Vertrag ab, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO – mein berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen. Eine Einwilligung ist dafür nicht erforderlich und wird auch nicht eingeholt.

Deine Anfrage wird gelöscht, sobald der Vorgang abschließend geklärt ist, spätestens 24 Monate nach dem letzten Kontakt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Projektanfrage-Formular: Unter /kontakt/ findest du ein Formular, mit dem du mir dein Vorhaben beschreiben kannst. Pflichtangaben sind nur Name, Unternehmen, E-Mail-Adresse und die gewünschte Leistung; alle weiteren Fragen – etwa zu deinem Ziel, eingesetzten Systemen, Umfang oder Wunschtermin – sind freiwillig und dienen ausschließlich dazu, dir ein belastbares Angebot machen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Angaben werden ausschließlich per E-Mail an mein eigenes Postfach zugestellt (Mailserver der STRATO AG in Deutschland); das Formular überträgt sie an keinen weiteren Dienstleister. Wird aus deiner Anfrage ein konkretes Projektgespräch, übernehme ich die Angaben in meine Kundenverwaltung (siehe Abschnitt 8). Kommt kein Vertrag zustande, lösche ich sie spätestens 24 Monate nach dem letzten Kontakt. Das Formular setzt kein Captcha eines Drittanbieters ein; gegen automatisierte Einsendungen prüfe ich lediglich ein für dich unsichtbares Zusatzfeld und den zeitlichen Abstand zwischen Aufruf und Absenden.

WhatsApp: Für den Kontakt über WhatsApp nutze ich die Business-Version des Dienstes der WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland. Verarbeitet werden die von dir bei WhatsApp genutzte Mobilfunknummer sowie – falls hinterlegt – dein Name. Im Rahmen des Dienstes kann es zu Übermittlungen an Server der Meta Platforms, Inc. in den USA kommen; siehe dazu Abschnitt 8. Wenn du das vermeiden möchtest, nutze bitte E-Mail oder Telefon.

5) Google Analytics (nur mit deiner Einwilligung)

Wenn du im Cookie-Banner einwilligst, nutze ich Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Damit sehe ich in zusammengefasster Form, welche Seiten aufgerufen werden, wie lange sie gelesen werden, über welche Seiten Besucher kommen und welche Geräte und Browser sie nutzen. Das hilft mir, die Website zu verbessern.

Ohne Einwilligung wird das Skript von Google nicht geladen und keine Verbindung zu Google aufgebaut. Mit Einwilligung setzt Google Analytics die Cookies _ga und _ga_4HZ54WP7MD (Speicherdauer bis zu 2 Jahre) und überträgt Nutzungsdaten an Google, darunter deine IP-Adresse, die laut Google in der EU nur zur Bestimmung des ungefähren Standorts verwendet und nicht gespeichert wird. Werbefunktionen sind technisch deaktiviert: Die Website erlaubt nur die Statistik-Speicherung, keine Speicherung zu Werbezwecken. Google Signals ist deaktiviert.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: über den Link „Cookie-Einstellungen“ im Footer und dann „Ablehnen“. Dabei werden die Analytics-Cookies in deinem Browser gelöscht.

Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Data Processing Terms). Bei Google werden Ereignisdaten nach 2 Monaten und nutzerbezogene Daten nach 14 Monaten automatisch gelöscht. Dabei kann es zu einer Übermittlung an die Google LLC in den USA kommen; siehe dazu Abschnitt 8.

6) Terminbuchung über Cal.com

Für die Online-Terminvereinbarung nutze ich den Dienst der Cal.com, Inc., 2261 Market St #4382, San Francisco, CA 94114, USA.

Der Buchungskalender wird erst nach deinem Klick auf „Termin buchen“ geladen. Ab diesem Zeitpunkt wird deine IP-Adresse an Cal.com übertragen und der Dienst kann Daten in deinem Browser speichern. Für die Buchung selbst werden Vor- und Nachname, E-Mail-Adresse und – bei telefonischen Terminen – deine Telefonnummer erhoben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung der Terminvereinbarung sowie Art. 6 Abs. 1 lit. f DSGVO für die effiziente Terminverwaltung. Es besteht ein Vertrag zur Auftragsverarbeitung. Zur Übermittlung in die USA siehe Abschnitt 8. Nach Ablauf des Termins werden die Daten beim Anbieter gelöscht.

7) Geschäftliche Erstansprache per E-Mail

Ich spreche Unternehmen im B2B-Bereich per E-Mail an, ohne dass diese mir ihre Daten selbst übermittelt haben. Die dafür verarbeiteten Daten stammen aus öffentlich zugänglichen Quellen.

Wenn du eine solche E-Mail von mir bekommen hast, findest du alle Informationen nach Art. 14 DSGVO – Herkunft der Daten, Datenkategorien, Zweck, Rechtsgrundlage, Speicherdauer und dein Widerspruchsrecht – auf einer eigenen Seite: hellysystems.de/datenquelle.

8) Eingesetzte Dienste und Übermittlung in Drittländer

Die folgende Übersicht zeigt, welche Dienstleister im Rahmen meiner Geschäftstätigkeit personenbezogene Daten verarbeiten und wo diese Daten liegen. Mit allen als Auftragsverarbeiter tätigen Anbietern bestehen Verträge nach Art. 28 DSGVO.

• STRATO AG, Berlin, Deutschland – Webhosting und Server für die Automatisierungsumgebung. Serverstandort Deutschland, kein Drittlandtransfer.
• Anthropic Ireland, Limited, Dublin, Irland – Sprachmodell für interne Abläufe: Einordnung eingehender E-Mails und Formulierung geschäftlicher Erstansprachen. Vertragspartner in der EU; eine Verarbeitung durch die US-Muttergesellschaft ist nicht ausgeschlossen.
• Supabase, Inc., USA – Datenbank für interne Vorgänge. Die genutzte Projektregion ist EU (Frankfurt am Main); die Daten werden dort gespeichert.
• Cal.com, Inc., USA – Terminbuchung, siehe Abschnitt 6.
• Notion Labs, Inc., USA – Kundenverwaltung (CRM).
• Google Ireland Limited, Dublin, Irland – E-Mail und Tabellen für interne Abläufe sowie Google Analytics auf dieser Website, nur mit deiner Einwilligung (siehe Abschnitt 5).
• WhatsApp Ireland Limited / Meta Platforms, Inc. – Messenger-Kontakt, siehe Abschnitt 4.
• Haufe-Lexware GmbH & Co. KG, Freiburg, Deutschland – Buchhaltung und Rechnungsstellung.
• n8n GmbH, Berlin, Deutschland – Software für die Automatisierungsumgebung. Der Betrieb erfolgt auf einem eigenen Server in Deutschland.
• Telegram – rein interne Betriebsbenachrichtigungen an mich. Es werden keine Daten von Website-Besuchern übertragen.

Drittlandtransfer (Art. 44 ff. DSGVO): Soweit Daten an Anbieter mit Sitz in den USA oder an deren dortige Konzerngesellschaften übermittelt werden, erfolgt dies auf Grundlage des mit dem jeweiligen Anbieter geschlossenen Vertrags – je nach Anbieter gestützt auf einen Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework) oder auf Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Trotz dieser Garantien lässt sich ein Zugriff US-amerikanischer Behörden auf die übermittelten Daten nicht vollständig ausschließen. Welche Grundlage im Einzelfall greift, teile ich dir auf Anfrage gerne mit.

9) Speicherdauer im Überblick

• Server-Logfiles: 7 Tage
• Kontaktanfragen und Projektanfragen ohne Vertragsschluss: bis zur Klärung, längstens 24 Monate ab letztem Kontakt
• Google Analytics: Cookies bis zu 2 Jahre; Ereignisdaten bei Google 2 Monate, Nutzerdaten 14 Monate; deine Entscheidung im Banner bis zum Widerruf oder Löschen im Browser
• Kontaktdaten aus der geschäftlichen Erstansprache: 12 Monate ab Anreicherung
• Terminbuchungen: Löschung durch den Anbieter nach Ablauf des Termins
• Rechnungen und Buchungsbelege: 8 Jahre (§ 147 Abs. 3 AO)
• Handelsbriefe wie Angebote und Auftragsbestätigungen: 6 Jahre (§ 257 HGB)
• Verträge: 3 Jahre nach Vertragsende, zuzüglich steuerlicher Aufbewahrungsfristen
• Widerspruchsliste (Sperrliste): dauerhaft, damit dein Widerspruch dauerhaft wirkt

Wo gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, werden die betroffenen Daten nach Art. 18 DSGVO in der Verarbeitung eingeschränkt: Sie werden archiviert und nur noch für den Aufbewahrungszweck verwendet, nicht mehr für laufende Geschäftszwecke.

10) Deine Rechte

Dir stehen mir gegenüber die folgenden Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Unterrichtung der Empfänger (Art. 19 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• keiner ausschließlich automatisierten Entscheidung im Einzelfall unterworfen zu werden (Art. 22 DSGVO). Solche Entscheidungen treffe ich nicht.

Widerspruchsrecht

Verarbeite ich deine Daten auf Grundlage einer Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO, hast du nach Art. 21 Abs. 1 DSGVO das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Ich verarbeite die betroffenen Daten dann nicht weiter, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeite ich deine Daten für Direktwerbung, hast du nach Art. 21 Abs. 2 DSGVO jederzeit das Recht, dieser Verarbeitung zu widersprechen – ohne Angabe von Gründen und ohne dass es auf eine Abwägung ankommt. Nach deinem Widerspruch verarbeite ich deine Daten nicht mehr zu Werbezwecken. Eine formlose Nachricht genügt: christopher@hellysystems.de.

Damit dein Widerspruch dauerhaft wirkt, trage ich deine E-Mail-Adresse und die zugehörige Domain in eine interne Sperrliste ein. Diese Sperrliste wird ausschließlich dazu verwendet, dich von künftiger Ansprache auszunehmen, und aus genau diesem Grund nicht gelöscht.

11) Beschwerderecht bei der Aufsichtsbehörde

Unabhängig davon hast du nach Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichts­behörde zu beschweren. Die für mich zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
Postfach 20 04 44, 40102 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
Web: www.ldi.nrw.de

12) Verletzung des Schutzes personenbezogener Daten

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten – etwa durch unbefugten Zugriff, Verlust oder unbeabsichtigte Offenlegung –, melde ich diese nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die LDI NRW, sofern die Verletzung voraussichtlich zu einem Risiko für deine Rechte und Freiheiten führt.

Ist ein hohes Risiko für dich zu erwarten, benachrichtige ich dich zusätzlich nach Art. 34 DSGVO unverzüglich und in klarer, einfacher Sprache über den Vorfall, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen. Sicherheitsvorfälle dokumentiere ich intern nach Art. 33 Abs. 5 DSGVO – auch dann, wenn keine Meldepflicht besteht.

13) Änderungen dieser Datenschutzerklärung

Ich passe diese Erklärung an, wenn sich die zugrunde liegenden Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.