kleinhersteller.de

Datenschutz

Fast fertig. Die Angaben unten beschreiben, was die Seite technisch tatsächlich tut. Verantwortlicher, Selbstcheck, Aktionsplan, Zahlung, Bestätigung, Kontaktformular und Messung stehen. Offen ist noch die Stripe-Vertragsgesellschaft; beim Hoster fehlt nur noch der abgeschlossene Vertrag zur Auftragsverarbeitung. Beides ist unten markiert.

Verantwortlicher

Kai Renz, Otto-Hahn-Straße 7, 89584 Ehingen, Deutschland
E-Mail: info@noseo-commerce.de · Telefon: +49 173 5439945

Der Selbstcheck: Antworten bleiben im Browser

Der Selbstcheck läuft vollständig im Browser der Besucherin oder des Besuchers. Die einzelnen Antworten werden zu keinem Zeitpunkt an einen Server übertragen — auch nicht beim Freischalten des kostenpflichtigen Aktionsplans, siehe den nächsten Abschnitt.

Während des Ausfüllens liegen die Antworten im Sitzungsspeicher des Browsers (sessionStorage), damit ein Neuladen der Seite den Zwischenstand nicht verwirft. Dieser Speicher gilt nur für den einzelnen Browser-Tab und wird vom Browser gelöscht, sobald dieser geschlossen wird; die Schaltfläche „Von vorn“ löscht ihn sofort. Bewusst wird nicht der dauerhafte lokale Speicher verwendet, damit auf einem gemeinsam genutzten Rechner keine Antworten für die nächste Person liegen bleiben. Cookies werden nicht gesetzt.

Das ist eine bewusste Entscheidung: Wer hier Antworten gibt, legt mögliche Lücken im eigenen Betrieb offen. Solche Angaben gehören niemandem außer der Person selbst.

Übermittelt werden am Ende ausschließlich vier Summen: wie viele Pflichten einschlägig waren, wie viele Treffer herauskamen, wie viele davon auf „dachte, es betrifft mich nicht“ entfielen und wie viele Punkte als bekannt, aber noch offen eingestuft wurden. Welche Pflicht wie beantwortet wurde, wird nicht übermittelt — aus vier Summen lässt sich das nicht zurückrechnen. Näheres im Abschnitt Reichweitenmessung.

Der kostenpflichtige Aktionsplan

Wer den Aktionsplan freischaltet, erhält einen Beleg: eine 48 Zeichen lange Zeichenkette ohne Bezug zu einer Person. Sie wird im lokalen Speicher des Browsers abgelegt, damit der Plan beim nächsten Besuch ohne erneute Zahlung sichtbar ist. Das ist die einzige Information, die dieses Angebot über die Sitzung hinaus im Browser dauerhaft hinterlegt. Sie lässt sich jederzeit über die Browsereinstellungen löschen; dann ist der Plan bis zur erneuten Eingabe des Belegs nicht mehr sichtbar. Derselbe Beleg steht in der Bestätigungsmail, damit der Zugang nicht an einem einzigen Browser hängt.

Über den Kauf selbst wird auf diesem Server nichts gespeichert — keine Liste der ausgestellten Belege, keine Zuordnung zu einer Zahlung, keine E-Mail-Adresse. Ob ein Beleg gültig ist, wird nicht nachgeschlagen, sondern nachgerechnet: Er trägt eine Signatur, die nur mit einem Schlüssel auf dem Server erzeugt und geprüft werden kann. Deshalb gibt es hier auch keine Kaufhistorie, die man herausgeben, verlieren oder auswerten könnte. Eine Ausnahme gibt es: Wer den Vertrag über die Widerrufsfunktion widerruft, dessen Erklärung wird gespeichert — siehe „Die Widerrufsfunktion“.

Beim Abruf des Plans wird ausschließlich dieser Beleg an den Server übertragen — kein Profil, keine Antworten, keine Trefferzahl. Der Server liefert daraufhin sämtliche hinterlegten Handlungsschritte aus; welche davon angezeigt werden, entscheidet allein der Browser. Es ist daher technisch nicht möglich, aus dem Kauf abzuleiten, was jemand herstellt.

Die Zahlung über Stripe

Für die Zahlung ist Stripe eingebunden. Der Ablauf: Ein Klick auf „Aktionsplan freischalten“ lässt diesen Server eine Zahlungssitzung bei Stripe anlegen; anschließend wird der Browser auf die Zahlungsseite von Stripe weitergeleitet. Die Zahlung findet dort statt, nicht auf dieser Seite. Es wird kein Skript von Stripe in diese Seite eingebunden — solange nicht auf die Schaltfläche geklickt wird, geht keine Verbindung zu Stripe und Stripe erfährt nichts vom Besuch dieser Seite.

Auf der Zahlungsseite werden E-Mail-Adresse und Zahlungsdaten eingegeben. Diese Angaben erreichen diesen Server nicht, mit einer Ausnahme: Nach erfolgreicher Zahlung meldet Stripe den Vorgang zurück. Aus dieser Meldung werden ausschließlich die E-Mail-Adresse, der Betrag, der Zeitpunkt und die Vorgangsnummer verwendet, um die Bestätigung zu verschicken (siehe unten). Was gekauft wurde, ist immer dasselbe; was jemand herstellt, geht bei der Zahlung nicht mit — diese Angabe verlässt den Browser an keiner Stelle.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags) und, soweit Stripe zur Betrugsvermeidung eigene Zwecke verfolgt, Art. 6 Abs. 1 lit. f DSGVO.

Drittlandbezug. Stripe überträgt personenbezogene Daten auch in Länder außerhalb der EU, insbesondere in die USA. Stripe benennt dafür in seiner Datenschutzerklärung (Fassung vom 16. Januar 2026) drei Grundlagen: Angemessenheitsbeschlüsse, „die von der Europäischen Kommission genehmigten EU-Standardvertragsklauseln“ sowie die Zertifizierung nach dem EU-U.S. Data Privacy Framework und dem Swiss-U.S. Data Privacy Framework. Die Erklärung ist unter stripe.com/de/privacy abrufbar.

AUSFÜLLEN Zu ergänzen ist die Stripe-Gesellschaft, mit der der Vertrag tatsächlich besteht, samt Anschrift. Sie steht im eigenen Stripe-Vertrag und auf den Abrechnungen — diese Angabe gehört nicht aus einer fremden Zusammenfassung übernommen, sondern aus den eigenen Unterlagen abgeschrieben.

Die Bestätigung nach dem Kauf

Nach der Zahlung geht eine E-Mail mit dem Beleg und der Bestätigung des Vertrags heraus. Sie ist Pflicht: Ohne Bestätigung nach § 312f BGB erlischt das Widerrufsrecht bei digitalen Inhalten nicht (§ 356 Abs. 6 Satz 1 Nr. 2 Buchst. d BGB). Verarbeitet werden dafür E-Mail-Adresse, Betrag, Zeitpunkt, Vorgangsnummer und Beleg — und sonst nichts.

Der Versand läuft über dieselbe n8n-Instanz wie das Kontaktformular (siehe unten: eigene Hardware im eigenen Betrieb in Deutschland) und über ein Postfach bei Microsoft 365. Was dort zum Auftragsverarbeiter und zum Drittlandbezug gilt, gilt hier ebenso. Aufbewahrt wird die Bestätigung, solange steuer- und handelsrechtliche Fristen es verlangen (§ 147 AO); eine Löschung vorher wäre keine Datensparsamkeit, sondern ein Verstoß gegen die Aufbewahrungspflicht.

Aus dieser E-Mail lässt sich nicht ableiten, was jemand herstellt. Der Beleg schaltet bei allen Käufern denselben, vollständigen Satz an Handlungsschritten frei; welche davon angezeigt werden, entscheidet allein der Browser.

Die Widerrufsfunktion

Ein online geschlossener Vertrag muss auch online widerrufen werden können (§ 356a BGB). Dafür gibt es die Seite „Vertrag widerrufen“. Wer sie nutzt, gibt Name, eine E-Mail-Adresse für die Eingangsbestätigung und Angaben zum Vertrag an — etwa die Vorgangsnummer aus der Bestätigungsmail oder das Kaufdatum.

Diese Angaben werden mit Datum und Uhrzeit des Eingangs auf diesem Server gespeichert — anders als beim Kauf selbst. Das ist Absicht: Ein Widerruf muss nachweisbar sein, für die Käuferin wie für den Betreiber, und er gilt nach § 356a Abs. 5 BGB mit dem Absenden als zugegangen. Anschließend gehen dieselben Angaben an die n8n-Instanz, die daraus die Eingangsbestätigung nach § 356a Abs. 4 BGB verschickt und den Betreiber benachrichtigt; der Versand läuft wie bei der Kaufbestätigung über das Postfach bei Microsoft 365. Mitgeschickt wird sonst nichts — keine IP-Adresse, kein Browserkennzeichen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus § 356a BGB) und Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags). Gelöscht wird, sobald der Widerruf abgewickelt ist und keine steuer- oder handelsrechtlichen Aufbewahrungsfristen (§ 147 AO) mehr entgegenstehen.

Server-Logfiles

Die Seite läuft auf einem eigenen virtuellen Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Deutschland. Hetzner stellt die Maschine bereit; betrieben wird die Seite darauf vom Verantwortlichen selbst. Mit Hetzner besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. PRÜFEN Vertrag im Hetzner-Kundenkonto abschließen und die Anschrift darin mit dieser vergleichen, dann diesen Marker entfernen.

Zugriffsprotokolle mit IP-Adressen werden nicht gespeichert. Der vorgeschaltete Webserver protokolliert nur Anfragen, die mit einem Serverfehler enden; ein solcher Eintrag enthält die IP-Adresse, den Zeitpunkt und die abgerufene Adresse. Die Anwendung dahinter sieht die IP-Adressen der Besucher nicht, sondern nur die des vorgeschalteten Servers. Die Protokolle sind in der Größe begrenzt — höchstens drei Dateien zu je 10 MB — und werden danach laufend überschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb).

Schriftarten

Die verwendeten Schriftarten liegen auf demselben Server wie die Seite und werden per @font-face von dort ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen externen Schriftdienst; eine Übertragung der IP-Adresse an Dritte findet beim Laden der Schriften nicht statt.

Das Kontaktformular

Über das Kontaktformular werden genau drei Angaben verarbeitet: Name, E-Mail-Adresse und Nachrichtentext. Weitere Daten werden weder erhoben noch weitergegeben — insbesondere keine IP-Adresse, kein Browserkennzeichen und keine Kennung, über die jemand wiedererkannt werden könnte.

Die Angaben werden ausschließlich verwendet, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung oder Durchführung eines Vertrags geht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse, auf Zuschriften antworten zu können. Die Angabe ist freiwillig; ohne E-Mail-Adresse ist allerdings keine Antwort möglich.

Zur Zustellung wird die Automatisierungssoftware n8n eingesetzt. Sie läuft nicht bei einem Anbieter, sondern auf eigener Hardware im eigenen Betrieb in Deutschland. An der Verarbeitung ist damit kein Auftragsverarbeiter beteiligt, und es findet keine Übermittlung in ein Drittland statt.

Der Aufruf erfolgt vom Server dieser Website aus, nicht aus dem Browser: Beim Aufruf der Kontaktseite wird noch nichts übertragen, und die Zieladresse ist im Quelltext der Seite nicht enthalten. Erst mit dem Absenden gehen die drei genannten Angaben dorthin.

Aufbewahrung: Nachrichten werden an beiden Orten — in n8n und im Postfach — gelöscht, sobald die Anfrage abschließend bearbeitet ist. Etwas anderes gilt nur, wenn im Einzelfall eine gesetzliche Aufbewahrungspflicht besteht — etwa weil aus der Anfrage ein Geschäft geworden ist und die Nachricht damit zum Geschäftsbrief wird (§ 147 AO).

Zugestellt wird die Nachricht anschließend in ein Microsoft-365-Postfach. Insoweit ist Microsoft Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist der „Datenschutznachtrag für Produkte und Services von Microsoft“. Datenschutzvertreter für den Europäischen Wirtschaftsraum ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland.

Eine Übermittlung in die Vereinigten Staaten und in weitere Länder, in denen Microsoft oder seine Unterauftragsverarbeiter tätig sind, ist dabei nicht ausgeschlossen. Für sämtliche Übermittlungen aus dem EWR gelten nach dem Datenschutznachtrag die Standardvertragsklauseln von 2021 — Standarddatenschutzklauseln nach Art. 46 DSGVO, genehmigt durch Beschluss (EU) 2021/914 der Kommission vom 4. Juni 2021. Zusätzlich ist Microsoft nach dem EU-U.S. Data Privacy Framework zertifiziert.

Zum Schutz vor automatisierten Zusendungen enthält das Formular ein verstecktes Feld und eine signierte Zeitmarke, und die Zahl der Zusendungen pro Stunde ist gedeckelt. Dabei wird lediglich festgehalten, wann eine Nachricht abgeschickt wurde — nicht, von wem.

Kontaktaufnahme per E-Mail

Wer per E-Mail Kontakt aufnimmt, übermittelt dabei die angegebenen Daten. Sie werden ausschließlich zur Bearbeitung der Anfrage verwendet und danach gelöscht, sofern keine Aufbewahrungspflicht besteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Reichweitenmessung

Diese Seite nutzt keinen externen Analysedienst. Die wenigen Kennzahlen werden von einem eigenen Skript auf demselben Server erfasst, auf dem auch die Seite liegt. Es werden keine Daten an Dritte übermittelt; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist deshalb nicht erforderlich.

Erfasst werden ausschließlich aggregierte Kennzahlen: aufgerufene Seiten, ungefähre Herkunft, verweisende Seite, Gerätekategorie sowie einige benannte Ereignisse — Aufruf und Abschluss des Selbstchecks, die Anzahl der dabei einschlägigen Pflichten, die Trefferzahl, die Anzahl der Treffer aus „dachte, es betrifft mich nicht“, die Anzahl der als bekannt, aber noch offen eingestuften Punkte, Klicks auf die Schaltfläche zur Interessensbekundung und Klicks auf die Schaltfläche zum Freischalten des Aktionsplans.

Es werden keine Cookies gesetzt und es wird nicht auf im Endgerät gespeicherte Informationen zugegriffen. Eine Einwilligung nach § 25 TDDDG ist dafür nicht erforderlich.

Zu jedem Ereignis wird ausschließlich das Datum gespeichert — keine Uhrzeit, keine IP-Adresse, kein Browserkennzeichen, keine Kennung. Damit lassen sich die Ereignisse einer einzelnen Person nicht wieder zusammenfügen, und eine Wiedererkennung über Seitenaufrufe oder Besuche hinweg ist technisch ausgeschlossen. Aus demselben Grund werden hier auch keine Besucherzahlen erhoben, sondern nur Seitenaufrufe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht darin, zu erkennen, ob dieses Angebot überhaupt gebraucht wird und an welcher Stelle es Menschen nicht weiterhilft.

PRÜFEN Diese Angaben gelten für die derzeit erfassten Ereignisse. Sobald zusätzlich erfasst werden soll, welche Pflichten falsch eingeschätzt wurden, ist dieser Abschnitt zu erweitern und die Erforderlichkeit neu zu bewerten. Gleiches gilt für Newsletter- oder Formulardienste.

Rechte der betroffenen Personen