Informationen gemäß Art. 13 und 14 DSGVO

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei Besuch und Nutzung der Website und der Anwendung kurzhand. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Für Konto-, Vertrags-, Sicherheits- und eigene Kommunikationsdaten ist die Rolsing & Kokorin GbR Verantwortlicher. Für Kunden-, Dokument- und Beschäftigtendaten, die ein Handwerksbetrieb in kurzhand verarbeitet, bleibt der jeweilige Betrieb Verantwortlicher; kurzhand verarbeitet diese Inhalte auf Grundlage des gesondert einbezogenen Auftragsverarbeitungsvertrags.

kurzhand richtet sich an Unternehmer (Solo-Handwerker und Handwerksbetriebe). Wir verarbeiten personenbezogene Daten für die jeweils beschriebenen Zwecke. Optionale Analysewerkzeuge verwenden wir nur nach Ihrer Einwilligung (Abschnitt 13); davon zu unterscheiden ist die anonyme Zählung auf der Verweisseite /links, die ohne Cookies, ohne Drittanbieter und ohne Wiedererkennung auskommt (ebenfalls Abschnitt 13). Für die werbliche Ansprache geeigneter Geschäftsbetriebe per Brief und Telefon prüfen wir unser berechtigtes Interesse im Einzelfall (Abschnitt 5). Werbliche E-Mails an Betriebe, die noch keine Nutzer sind, versenden wir nur mit vorheriger Einwilligung; eine Anfrage ist keine pauschale Einwilligung in weitere Werbung. Für Hinweise auf eigene Tarife an registrierte Nutzer gilt Abschnitt 3 l.

a) Registrierung und Vertragsabwicklung. Bei der Registrierung verarbeiten wir E-Mail-Adresse, Name und Passwort (gehasht). Im Anschluss verarbeiten wir die von Ihnen im Profil bzw. bei der Einrichtung hinterlegten Betriebsdaten (z. B. Firmenname, Rechtsform, Anschrift, Telefonnummer, Steuernummer/USt-IdNr., Registerangaben und Bankverbindung für Ihre Rechnungen) sowie die in der Anwendung erfassten Angebots-, Auftrags-, Rechnungs- und Kundendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

a1) Unternehmensnachweis vor einem kostenpflichtigen Tarif. kurzhand richtet sich ausschließlich an Unternehmen. Bevor ein kostenpflichtiger Tarif gebucht werden kann, verarbeiten wir zusätzlich Rechtsform, vollständige Geschäftsanschrift, den Namen der handelnden Ansprechperson, eine Rechnungs-E-Mail sowie Ihre Bestätigung, als Unternehmer im Sinne des § 14 BGB zu handeln. Von dieser Bestätigung speichern wir den angezeigten Wortlaut, die Fassung und den Zeitpunkt — als Nachweis, was genau bestätigt wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (ordnungsgemäße Rechnung nach § 14 UStG) und unser berechtigtes Interesse an der Nachweisbarkeit der Unternehmereigenschaft (Art. 6 Abs. 1 lit. f DSGVO).

b) Bereitstellung der Website. Beim Aufruf werden technisch erforderliche Verbindungsdaten (u. a. IP-Adresse) verarbeitet, um die Auslieferung zu ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen, sicheren Bereitstellung).

c) Sicherheit und Missbrauchsschutz. Zur Abwehr von Missbrauch (Rate-Limiting) verarbeiten wir kurzzeitig technische Merkmale. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

d) Zahlungsabwicklung. Bei Buchung eines kostenpflichtigen Tarifs übermitteln wir E-Mail-Adresse, Firmenname, Rechnungsadresse und – sofern angegeben – die Umsatzsteuer-Identifikationsnummer an Stripe. Zahlungsmittel­daten (Karten- und Kontodaten) werden ausschließlich von Stripe erhoben und erreichen unsere Systeme nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Rolle von Stripe ist dabei nicht einheitlich: Nach dem Stripe-Auftragsverarbeitungsvertrag handelt Stripe als Auftragsverarbeiter für uns, soweit Daten zur Erbringung der beauftragten Zahlungs- und Abrechnungsfunktionen verarbeitet werden. Für bestimmte weitere Zwecke bestimmt Stripe Zweck und Mittel selbst und ist insoweit eigener Verantwortlicher — namentlich für Betrugserkennung und -prävention auf der Stripe-Plattform, die Erfüllung eigener gesetzlicher Pflichten (unter anderem Geldwäscheprävention und Identitätsprüfung), die Auswahl und Einbindung beteiligter Banken und Zahlungsmethodenanbieter, eigene interne Prozesse einschließlich Abrechnung gegenüber uns sowie die Analyse und Weiterentwicklung der eigenen Dienste. Für diese eigenverantwortlichen Verarbeitungen gelten die Datenschutzbestimmungen von Stripe; Ansprechpartner ist insoweit Stripe.

Lokal im Browser (localStorage) werden Komfort-Einstellungen, einmalige Hinweisstatus und kurzfristig ausgewählte Dokumentvorlagen gespeichert. Angebots- und Kundendaten werden dort nicht dauerhaft als primärer Datenspeicher geführt.

Lokaler Entwurf im öffentlichen Angebotsassistenten. Wenn Sie den öffentlichen Angebotsassistenten nutzen, werden Ihre Eingaben zunächst ausschließlich im localStorage Ihres Browsers gespeichert. Dazu gehören Betriebs- und Ansprechpartnerdaten, Steuerangaben, Kundendaten sowie Angebotspositionen, Mengen und Preise. Die lokale Speicherung ist erforderlich, um den von Ihnen angeforderten Entwurf wiederherzustellen und nach der Registrierung in Ihr Konto zu übernehmen. Der Entwurf wird spätestens sieben Tage nach seiner Erstellung automatisch gelöscht und kann im Assistenten jederzeit über „Entwurf löschen“ entfernt werden. Erst wenn Sie nach Registrierung oder Anmeldung die Übernahme starten, werden die Angaben an kurzhand übertragen; nach erfolgreicher Übernahme wird der lokale Entwurf gelöscht. Funnel-Analysen enthalten keine Namen, Kontaktdaten, Positions- oder Angebotstexte und keine Preise. Rechtsgrundlage für die anschließende serverseitige Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Die lokale Speicherung ist für den ausdrücklich gewünschten Angebotsassistenten nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich.

Lokal gelesener Beleg vor der Registrierung. Auf unserer Seite für die Region Mayen können Sie ein altes Angebot oder eine alte Rechnung auswählen, um zu sehen, welche Angaben kurzhand daraus lesen kann. Die Datei wird dabei nicht hochgeladen: Sie wird ausschließlich in Ihrem Browser gelesen, verlässt Ihr Gerät nicht und wird von uns weder gespeichert noch an Dritte übermittelt. Eine künstliche Intelligenz ist daran nicht beteiligt.

Entscheiden Sie sich anschließend für „Kostenlos übernehmen“, wird ausschließlich das Ergebnis der Auswertung im localStorage Ihres Browsers abgelegt, damit es die Registrierung übersteht — also erkannte Betriebs- und Kontaktangaben, Steuer- und Bankangaben, Leistungen mit Menge und Preis sowie eine mögliche Kundenanschrift. Die Originaldatei wird dabei nicht gespeichert. Der Eintrag wird spätestens zwei Stunden nach der Auswertung automatisch ungültig und beim Einstieg in die Einrichtung gelöscht — unabhängig davon, ob er verwendet wurde. An kurzhand übertragen wird davon nur, was Sie in der Einrichtung ausdrücklich bestätigen. Rechtsgrundlage für die anschließende serverseitige Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Die lokale Speicherung ist für die von Ihnen ausdrücklich angeforderte Übernahme nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich.

e) Öffentliche Dokumentlinks. Bei Freigabe eines Angebots oder einer Rechnung erzeugt die Anwendung einen zufälligen, nicht für Suchmaschinen bestimmten Link. Über diesen Link werden die für Anzeige, Annahme oder PDF-Download erforderlichen Dokumentdaten verarbeitet. Der jeweilige kurzhand-Nutzer entscheidet als Verantwortlicher über die Freigabe an seine Empfänger; kurzhand verarbeitet diese Daten für ihn zur technischen Bereitstellung. Ruft der Empfänger ein freigegebenes Angebot oder eine Abnahme über den öffentlichen Link auf, speichern wir den Zeitpunkt des ersten Aufrufs und zeigen ihn dem freigebenden Betrieb als Statusangabe („angesehen“) an. Bei Angeboten speichern wir zusätzlich den Zeitpunkt des letzten Aufrufs und die Zahl der Aufrufe; erneute Aufrufe innerhalb von 30 Minuten werden dabei nicht mitgezählt. Der Betrieb sieht diese Angaben als Hinweis darauf, dass sein Kunde sich mit dem Angebot beschäftigt. Keine IP-Adresse, keine Gerätekennung und keine Verweildauer werden dabei gespeichert. Zweck ist die Nachvollziehbarkeit des Dokumentversands für den Betrieb. Verantwortlich hierfür ist der jeweilige Betrieb; kurzhand verarbeitet diese Angaben in seinem Auftrag. Nutzt der kurzhand-Nutzer die Funktion zur digitalen Unterschrift (Angebotsannahme, Bestätigung eines Nachtrags, Abnahme), werden zusätzlich die Unterschrift, der eingegebene Name des Unterzeichners sowie Zeitpunkt, IP-Adresse, Gerätekennung (User-Agent) und eine Prüfsumme des Dokumentinhalts gespeichert. Diese Daten dienen ausschließlich dem Nachweis der Annahme und dem Schutz vor nachträglicher Veränderung (Beweissicherung); kurzhand verarbeitet sie im Auftrag des jeweiligen kurzhand-Nutzers als Verantwortlichem.

f) Absicherung des Registrierungsvorgangs. Während der Registrierung verarbeiten wir eine zufällige Vorgangs-Kennung, den zuletzt erreichten Schritt und — sobald in das Formular eingegeben — die E-Mail-Adresse, auch wenn die Registrierung nicht abgeschlossen wird. Zweck ist ausschließlich, technische Probleme und Missbrauch des Registrierungsprozesses zu erkennen und zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Registrierungsprozess). Eine werbliche Nutzung dieser Daten findet nicht statt; sie werden spätestens 30 Tage nach der letzten Aktivität automatisch gelöscht.

g) Kontaktformular. Wenn Sie unser Kontaktformular nutzen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Betreff und Ihre Nachricht, um Ihre Anfrage zu beantworten. Diese Angaben werden nicht in unserer Datenbank gespeichert, sondern ausschließlich als E-Mail über unseren Auftragsverarbeiter Plus Five Five, Inc. (Resend) an unser Postfach übermittelt; zusätzlich erhalten Sie eine automatische Eingangsbestätigung. Die weitere Bearbeitung findet in unserem Postfach bei Microsoft 365 statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Zum Schutz vor Missbrauch begrenzen wir die Zahl der Absendungen je IP-Adresse.

h) Support-Anfragen im Konto. Im eingeloggten Bereich können Sie Support-Anfragen („Tickets“) stellen. Wir verarbeiten dabei Betreff, Kategorie, Status sowie den Nachrichtenverlauf zwischen Ihnen und uns. Die Kommunikation mit Ihnen findet innerhalb der Anwendung statt. Damit eine neue Anfrage nicht unbemerkt bleibt, erhalten die Gesellschafter über unseren E-Mail-Dienstleister Resend eine interne Benachrichtigung an ihr geschäftliches Postfach (Microsoft 365) mit Betrieb und Namen, Betreff, Kategorie und dem Anfang Ihrer Nachricht. Antworten wir Ihnen, erhalten Sie an Ihre Anmeldeadresse eine Benachrichtigung mit dem Namen der antwortenden Person, aber ohne den Antworttext; diesen lesen Sie nach der Anmeldung in der Anwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

i) Fotodokumentation. In den Tarifen mit Fotodokumentation können Sie Fotos zu Aufträgen und Abnahmen hochladen. Die Dateien werden in einem nicht öffentlich zugänglichen Speicherbereich bei Supabase abgelegt und sind nur über kurzzeitig gültige, signierte Links abrufbar. Soweit die Fotos Ihre Endkunden, deren Objekte oder Ihre Beschäftigten betreffen, sind Sie Verantwortlicher; kurzhand verarbeitet sie in Ihrem Auftrag (siehe Auftragsverarbeitungsvertrag).

j) DATEV-Export. Ab dem Tarif „Betrieb“ können Sie Ihre Ausgangsrechnungen eines Zeitraums als Datei im DATEV-Format herunterladen. Die Datei wird auf unserem Server aus Ihren eigenen Daten erzeugt und Ihnen zum Download bereitgestellt. Eine Übermittlung an die DATEV eG oder an sonstige Dritte erfolgt durch uns nicht; über die Weitergabe an Ihre Steuerberatung entscheiden Sie selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

k) Teilen über WhatsApp. Für den Versand eines Angebots oder einer Rechnung können Sie WhatsApp nutzen. kurzhand übermittelt dabei selbst keine Daten an WhatsApp oder Meta und versendet keine Nachricht. Unterstützt Ihr Gerät das Teilen von Dateien, öffnet sich das Teilen-Menü Ihres Geräts mit dem PDF; andernfalls öffnet sich WhatsApp mit einem vorausgefüllten Text und dem Dokumentlink, und zwar mit der beim Kunden hinterlegten Telefonnummer als Empfänger, sofern eine gültige Nummer vorhanden ist. Abgesendet wird die Nachricht immer erst durch Sie über Ihren eigenen WhatsApp-Zugang. Dabei baut Ihr Gerät eine Verbindung zu WhatsApp auf. Für diese Verarbeitung ist WhatsApp Ireland Limited verantwortlich; es gelten deren Datenschutzbestimmungen. Ob Sie die Daten Ihres Kunden auf diesem Weg weitergeben, entscheiden Sie als Verantwortlicher gegenüber Ihrem Kunden. Die Nutzung ist freiwillig — Versand per E-Mail oder Link ist gleichwertig möglich.

k1) Route zur Baustelle. An Aufträgen und im Kalender können Sie die Einsatzadresse in Google Maps öffnen. Erst Ihr Klick öffnet Google Maps mit dieser Adresse in Ihrem Browser bzw. in der App; kurzhand selbst übermittelt dabei nichts an Google. Für die Verarbeitung in Google Maps ist Google verantwortlich; es gelten deren Datenschutzbestimmungen.

l) Hinweis-E-Mails zu Ihrem Konto. Im Rahmen des Nutzungsvertrags senden wir Ihnen E-Mails zu Ihrem Konto: Begrüßung nach der Registrierung, Hinweise zur Einrichtung in den ersten Tagen, Erinnerung vor Ablauf der Testphase, Hinweise zur Tarifbuchung sowie Bestätigungen eines gewählten Tarifs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht der Durchführung des Nutzungsvertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Einrichtung und Nutzbarkeit des Kontos). Enthalten diese E-Mails Hinweise auf unsere eigenen kostenpflichtigen Tarife, ist das Werbung für eigene ähnliche Leistungen an Ihre bei der Registrierung angegebene E-Mail-Adresse (§ 7 Abs. 3 UWG, Art. 6 Abs. 1 lit. f DSGVO); Sie können dieser Verwendung jederzeit widersprechen, ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen. Diese E-Mails sind nicht der Newsletter nach Abschnitt 4. Die E-Mails der Onboarding-Sequenz enthalten einen Abmeldelink, der mit einem Klick wirkt. Unabhängig davon können Sie der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen; eine Nachricht an datenschutz@kurzhand.de genügt.

m) Rückmeldung bei Kontolöschung. Beim Löschen Ihres Kontos können Sie freiwillig einen Grund aus einer vorgegebenen Liste auswählen. Übermittelt wird ausschließlich diese Kategorie (z. B. „zu teuer“) als Ereignismeldung an unseren Auftragsverarbeiter Sentry — ohne Ihre Kennung, ohne Ihren Namen und ohne Freitext. Ein Rückschluss auf Ihre Person ist daraus nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes).

n) Kurzfragen und Feedback im Kundenkonto. Auf der Übersicht Ihres Kontos fragen wir gelegentlich, wie Sie auf kurzhand aufmerksam geworden sind, was Sie mit kurzhand vor allem erleichtern möchten und wie hilfreich kurzhand bisher für Ihren Betrieb ist. Unter „Hilfe“ können Sie uns außerdem jederzeit eine Rückmeldung schicken. Die Angaben sind freiwillig; jede Frage lässt sich überspringen oder dauerhaft ausblenden, und es wird höchstens eine Frage zur Zeit gestellt. Wir verarbeiten Ihre Auswahl aus einer festen Liste, optionale Kurzangaben (z. B. „Instagram“), freiwillige Freitexte, die Zeitpunkte sowie, ob und wann eine Frage angezeigt, beantwortet oder übersprungen wurde. Die Angaben werden Ihrem Konto zugeordnet; es sind Angaben, die Sie selbst machen, keine Nutzungsanalyse im Sinne von Abschnitt 13. Gefragt wird nur der Inhaber des Kontos, nicht Teammitglieder. Zweck ist, kurzhand zu verbessern und zu verstehen, über welche Wege und mit welchem Ziel Betriebe zu uns kommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Weiterentwicklung unseres Angebots. Sie können nach Art. 21 DSGVO widersprechen — unter „Hilfe“ mit „Meine Antworten und Rückmeldungen löschen“ oder per Nachricht an datenschutz@kurzhand.de; danach fragen wir nicht mehr. Bitte tragen Sie in Freitexte keine Gesundheitsdaten und keine Angaben über andere Personen ein; Texte mit erkennbaren Gesundheitsangaben nimmt das Formular nicht an. Einsehen können die Angaben nur die Gesellschafter (Abschnitt 7); sie werden nicht an Dritte weitergegeben, nicht mit Werbe- oder Analysediensten verknüpft und nicht durch KI-Dienste ausgewertet.

o) Kundenstimmen. Wenn Sie bei einer Rückmeldung angeben, dass wir Sie wegen einer Kundenstimme ansprechen dürfen, legen wir Ihnen in Ihrem Konto einen konkreten Textvorschlag mit Zweck und Veröffentlichungsorten vor. Erst wenn Sie genau diesen Text freigeben, verwenden wir ihn — und Ihren Namen, Ihren Firmennamen und Ihr Logo nur, soweit Sie diese einzeln auswählen. Ändert sich der Text, legen wir ihn erneut vor. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie erhalten dafür keine Gegenleistung. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), in Ihrem Konto unter „Hilfe“ oder per E-Mail; wir entfernen die Kundenstimme dann von unserer Website und unseren eigenen Kanälen. Bereits gedruckte Unterlagen können wir nicht zurückholen. Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir Wortlaut, Version, Zeitpunkt und Weg der Freigabe, die erlaubten Angaben sowie einen späteren Widerruf.

p) Nutzung Ihres Kontos und Unterstützung in der Testphase. Wir halten fest, wann in Ihrem Konto bestimmte Kernschritte stattfinden — etwa das erste versendete Angebot, die erste Rechnung, das Aufrufen der Tarifseite, ein begonnener oder abgeschlossener Kauf, Tarifänderungen oder das Erreichen einer Tarifgrenze. Gespeichert werden der Schritt, der Zeitpunkt und wenige technische Merkmale (z. B. Tarif und Abrechnungsintervall), keine Inhalte Ihrer Angebote oder Rechnungen. Die Gesellschafter werten diese Angaben zusammen mit Ihren Supportanfragen aus, um Betriebe in der Testphase gezielt zu unterstützen, auf Probleme bei der Einrichtung zu reagieren und Sie gegebenenfalls anzurufen oder anzuschreiben, sowie um kurzhand zu verbessern. Eine automatisierte Entscheidung mit rechtlicher Wirkung ist damit nicht verbunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Betreuung unserer Nutzer und der Weiterentwicklung des Dienstes. Die Angaben werden nicht an Dritte weitergegeben und nicht mit den Analysewerkzeugen aus Abschnitt 13 verknüpft. Sie können nach Art. 21 DSGVO jederzeit widersprechen; eine Nachricht an datenschutz@kurzhand.de genügt.

Wenn Sie den angebotenen WhatsApp-Kontakt nutzen, öffnet erst Ihr Klick WhatsApp mit unserer Kontaktnummer und einem vorbereiteten Text. Sie senden die Nachricht selbst ab. Wir verarbeiten Ihre Nummer, Ihren Profilnamen, Nachrichten und die darin enthaltenen Betriebsangaben zur Beantwortung Ihrer Anfrage und zur vereinbarten Einrichtung oder Testbegleitung. Bei vorvertraglichen oder vertraglichen Anfragen ist die Grundlage Art. 6 Abs. 1 lit. b DSGVO, im Übrigen unser berechtigtes Interesse an der Bearbeitung von Anfragen nach Art. 6 Abs. 1 lit. f DSGVO.

WhatsApp wird durch WhatsApp Ireland Limited bereitgestellt; dabei können Daten auch außerhalb des EWR verarbeitet werden. Es gelten ergänzend die Datenschutzinformationen von WhatsApp. Die Nutzung ist freiwillig: E-Mail und unser Kontaktformular stehen ebenfalls zur Verfügung. Wir übernehmen aus dem Chat nur die erforderlichen Angaben in unsere Kundenbetreuung und verwenden eingehende Kontakte nicht automatisch für weitere Werbung. Rückrufe und begleitende Nachrichten vereinbaren wir mit Ihnen.

Ist die Anfrage erledigt, löschen wir nicht mehr erforderliche Chatdaten spätestens nach zwölf Monaten; notwendige Vertrags- und Geschäftsunterlagen bewahren wir getrennt entsprechend den gesetzlichen Fristen auf. Werbewidersprüche berücksichtigen wir wie in Abschnitt 5 beschrieben. Ihre Rechte finden Sie in Abschnitt 14.

Sofern wir eine Anmeldung zu unserem Newsletter anbieten, gilt Folgendes. Wir informieren Sie darin über Produktneuigkeiten und besondere Angebote, z. B. Feature-Updates und Rabattaktionen.

Rechtsgrundlage. Der Versand erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wir verwenden das Double-Opt-in-Verfahren: Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink; erst mit Klick auf diesen Link ist die Anmeldung wirksam und Sie erhalten weitere E-Mails.

Verarbeitete Daten. E-Mail-Adresse, Zeitpunkt der Anmeldung und der Bestätigung sowie die dabei verwendete IP-Adresse. Die Zeitpunkte und IP-Adressen verarbeiten wir ausschließlich, um die Erteilung Ihrer Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO).

Versanddienstleister. Der Versand erfolgt über unseren Auftragsverarbeiter Plus Five Five, Inc. (Resend; siehe Abschnitt 9 „Empfänger und Auftragsverarbeiter“). Eine Weitergabe Ihrer Daten an weitere Dritte findet nicht statt.

Speicherdauer und Widerruf. Wir speichern Ihre Daten bis zum Widerruf Ihrer Einwilligung. Sie können die Einwilligung jederzeit widerrufen — ohne Angabe von Gründen und ohne dass Ihnen dadurch Nachteile entstehen. Am einfachsten nutzen Sie dazu den Abmeldelink, der in jeder Newsletter- E-Mail enthalten ist; alternativ genügt eine Nachricht an datenschutz@kurzhand.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Für unsere Werbung sprechen wir Handwerksbetriebe gezielt an — per Brief, per Telefon und, nur nach vorheriger Einwilligung, per E-Mail. Wenn Sie von uns angesprochen wurden, gilt für die dabei verarbeiteten Daten Folgendes.

a) Zweck. Wir stellen Betrieben, für die kurzhand fachlich in Frage kommt, unser Angebot vor und klären, ob eine Zusammenarbeit sinnvoll ist. Es geht ausschließlich um geschäftliche Ansprache im Rahmen Ihrer gewerblichen Tätigkeit.

b) Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Ansprache möglicher Geschäftskunden. Erwägungsgrund 47 zur DSGVO nennt die Verarbeitung zum Zwecke der Direktwerbung ausdrücklich als eine Verarbeitung, die einem berechtigten Interesse dienen kann. Wir haben Ihre Interessen dagegen abgewogen: Wir verwenden ausschließlich geschäftliche Angaben aus öffentlich zugänglichen Quellen (Buchstabe d), wir sprechen Sie in Ihrer beruflichen Rolle an, der Bezug zu Ihrer Tätigkeit ist unmittelbar, und wir beschränken die Ansprache auf das für eine Entscheidung nötige Maß. Für den Versand von E-Mail-Werbung gilt abweichend Buchstabe g): dort ist Ihre Einwilligung die Grundlage.

c) Welche Daten wir verarbeiten. Den Namen und die Anschrift Ihres Betriebs, den Namen und die Funktion der öffentlich genannten Ansprechperson, das Gewerk und die angebotenen Leistungen, Ihre Internetadresse, die öffentlich genannten geschäftlichen Rufnummern — einschließlich einer öffentlich genannten Mobilnummer der Inhaberin oder des Inhabers, soweit der Betrieb sie selbst als Geschäftskontakt veröffentlicht hat —, eine öffentlich genannte geschäftliche E-Mail-Adresse, die Datenquelle sowie Versand-, Kontakt-, Anfrage- und Betreuungsstatus. Bei einem Telefonat halten wir zusätzlich Zeitpunkt, Ergebnis und die für die weitere Betreuung nötigen Notizen fest (siehe Buchstabe f). Jeder Brief trägt außerdem eine Kennung, die nur für dieses eine Schreiben vergeben wurde. Wird der aufgedruckte Code aufgerufen, halten wir fest, dass und wann dieser Brief aufgerufen wurde. Im Kampagnensystem entstehen dabei der Code, ein Zähler und die Zeitpunkte des ersten und letzten Aufrufs. Der Aufruf legt kein Konto an und ordnet Ihnen keines zu; ob daraus später eine Registrierung wird, ergibt sich erst, wenn Sie sich selbst registrieren. Registrieren Sie sich über den Link aus dem Brief oder mit der geschäftlichen E-Mail-Adresse, die in unserem Datensatz zu Ihrem Betrieb steht, verknüpfen wir diesen Datensatz mit dem neuen Konto, um den Erfolg der Briefaktion auszuwerten; über den Link erhält das Konto außerdem den Herkunftsvermerk „qr“ (Abschnitt 13). Beim Aufruf selbst fallen zusätzlich die üblichen technischen Verbindungsdaten an — insbesondere Ihre IP-Adresse, die wir kurzzeitig zur Begrenzung automatisierter Abrufe verwenden. Für sie gilt, was in den Abschnitten 2 und 9 zum Betrieb der Website steht. Eine Anfrage ordnen wir nach den vom Interessenten mitgeteilten Betriebsangaben zu.

d) Woher die Daten stammen. Ausschließlich aus öffentlich zugänglichen geschäftlichen Quellen: Ihrer eigenen freiwilligen geschäftlichen Veröffentlichungen, etwa Kontakt- oder Teamseiten sowie geeigneten öffentlichen Branchen- und Handwerksverzeichnissen. Ausschließlich aus einem gesetzlichen Pflichtimpressum erhobene Angaben verwenden wir nicht. Wir dokumentieren die konkrete Quelle und den Abruf; auf dem Brief nennen wir sie zusätzlich, und im Telefonat nennen wir sie Ihnen auf Nachfrage. Wir kaufen keine Adressen und keine Rufnummern zu.

e) Empfänger. Druck, Kuvertierung und Versand der laufenden Briefwelle übernimmt ein Briefversanddienstleister als Auftragsverarbeiter; er erhält die dafür erforderlichen Angaben. Versenden wir selbst, erhält das Postunternehmen die Zustellangaben. Telefonate führen wir selbst; ein Callcenter oder ein sonstiger Dritter wird damit nicht beauftragt. Mit der Kampagne befasste Gründer und beauftragte IT-Dienstleister erhalten Zugriff im erforderlichen Umfang; zu den IT-Dienstleistern und Übermittlungen siehe Abschnitte 9 und 10.

f) Telefonische Ansprache. Rufen wir Sie an, nennen wir zu Beginn des Gesprächs unseren Namen, das Unternehmen und den Anlass des Anrufs und weisen auf diese Datenschutzhinweise hin; auf Wunsch erhalten Sie die Information nach Art. 14 DSGVO zusätzlich in Textform. Gespräche werden nicht aufgezeichnet und nicht mitgeschnitten. Wir halten lediglich fest, wann angerufen wurde, ob ein Gespräch zustande kam, wie es ausgegangen ist und was für eine etwaige Rückmeldung vereinbart wurde. Sagen Sie, dass Sie keine weiteren Anrufe wünschen, vermerken wir das sofort als Werbewiderspruch (Buchstabe h) und rufen nicht erneut an. Für die wettbewerbsrechtliche Zulässigkeit eines Werbeanrufs gegenüber Unternehmern verlangt § 7 Abs. 2 Nr. 1 UWG Ihre mutmaßliche Einwilligung; wir prüfen vor jedem Anruf anhand von Gewerk, Betriebsgröße und veröffentlichter Arbeitsweise, ob ein sachliches Interesse an unserem Angebot naheliegt, und dokumentieren diese Einschätzung.

g) E-Mail nur mit Einwilligung. Werbliche E-Mails versenden wir ausschließlich, wenn Sie uns dafür zuvor Ihre Einwilligung erteilt haben — etwa weil Sie uns im Telefonat oder auf eine Anfrage hin ausdrücklich um Unterlagen gebeten haben. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. a DSGVO, wettbewerbsrechtlich § 7 Abs. 2 Nr. 2 UWG. Ohne diese Einwilligung geht keine werbliche E-Mail hinaus; die Prüfung ist in unseren Systemen technisch erzwungen und lässt sich nicht übergehen. Ihre Einwilligung können Sie jederzeit für die Zukunft widerrufen; jede solche E-Mail enthält dafür einen Abmeldelink.

h) Ihr Widerspruchsrecht. Sie können der Verarbeitung Ihrer Daten zum Zwecke der Direktwerbung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO) — für alle Wege zugleich oder nur für einen einzelnen. Ein Grund ist nicht erforderlich, und es entstehen Ihnen dadurch keine Nachteile. Nach Ihrem Widerspruch verarbeiten wir Ihre Daten nicht mehr für Werbung. Formlos genügt: datenschutz@kurzhand.de, ein Wort im Telefonat, oder postalisch an die in Abschnitt 1 genannte Anschrift.

i) Wie lange wir die Daten speichern. Wir haben für recherchierte Werbedaten eine eigene Zweckbindungsfrist festgelegt: Spätestens zwölf Monate nach der letzten Ansprache löschen oder anonymisieren wir diese Daten, sofern bis dahin kein Kontakt zustande gekommen ist und kein anderer Zweck fortbesteht — etwa eine angebahnte Geschäftsbeziehung. Dies ist keine gesetzliche Aufbewahrungsfrist, sondern unsere selbst gesetzte Löschregel.

j) Was wir nach einem Widerspruch behalten. Damit wir Ihren Widerspruch dauerhaft beachten können, müssen wir wissen, dass es ihn gibt. Wir speichern dafür getrennt von den übrigen Daten nur die Mindestangaben, die zum Wiedererkennen nötig sind — je nach Weg die normalisierte Anschrift, Rufnummer oder E-Mail-Adresse —, zusammen mit dem Vermerk „Werbewiderspruch“. Diese Sperrinformation nutzen wir ausschließlich, um Sie von künftiger Werbung auszunehmen — für keinen anderen Zweck. Sie unterliegt nicht der Frist unter i), weil ihre Löschung genau das verhindern würde, was Sie mit dem Widerspruch erreichen wollten.

k) Information nach Art. 14 DSGVO. Da wir diese Daten nicht bei Ihnen selbst erhoben haben, informieren wir Sie darüber spätestens mit der ersten Ansprache. Beim Brief steht die Kurzfassung dieser Information deshalb bereits auf dem Schreiben selbst, beim Anruf geben wir sie zu Beginn des Gesprächs (Buchstabe f).

Betriebe (Inhaber) können in kurzhand Mitarbeiter („Monteure“) per E-Mail-Link einladen. Ein Monteur erhält ein eigenes Nutzerkonto, sieht ausschließlich die ihm zugewiesenen Aufträge — ohne Preis- und Umsatzdaten — und erfasst darauf seine Arbeitszeiten.

a) Rollenverteilung und Verantwortlichkeit. Für die im Rahmen des Beschäftigungs- bzw. Auftragsverhältnisses verarbeiteten Monteur-Daten (insbesondere Arbeitszeiten, Auftragszuweisungen und die zugehörigen Protokolle) ist der jeweilige Betrieb Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; kurzhand verarbeitet diese Daten für ihn als Auftragsverarbeiter nach Art. 28 DSGVO (siehe Auftragsverarbeitungsvertrag). Der Betrieb ist verpflichtet, seine Monteure gemäß Art. 13/14 DSGVO über diese Verarbeitung zu informieren. Für die Bereitstellung des Monteur-Nutzerkontos selbst (Registrierung, Anmeldung, technische Bereitstellung der Anwendung) sind wir Verantwortlicher; es gelten die Abschnitte 3 b), c) und f) entsprechend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Konto).

b) Einladung. Zum Versand der Einladung verarbeiten wir die vom Inhaber eingegebene E-Mail-Adresse des Monteurs sowie einen zufälligen Einmal-Link (in unserer Datenbank nur als kryptographische Prüfsumme gespeichert, Gültigkeit sieben Tage, einmal verwendbar). Der Versand erfolgt über unseren Auftragsverarbeiter Plus Five Five, Inc. (Resend; Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Betrieb; gegenüber dem eingeladenen Monteur Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Betriebs, sein Team einzurichten). Wird die Einladung nicht angenommen, verfällt der Link automatisch.

c) Arbeitszeiten und Änderungsprotokoll. Erfasste Zeiteinträge (Datum, Beginn/Ende, Pausen, Dauer, Tätigkeit, Auftragsbezug) werden mit einem Änderungsprotokoll geführt: Korrekturen und Löschungen erfordern die Angabe eines Grundes und werden mitsamt der ändernden Person unveränderlich protokolliert. Dies dient der Unterstützung gesetzlicher Aufzeichnungspflichten des Betriebs (z. B. § 17 MiLoG) und der Nachvollziehbarkeit; die Verantwortung für vollständige und richtige Aufzeichnungen liegt beim Betrieb.

d) Urlaub, Krankmeldungen und Korrektur-Anträge. Monteure können Abwesenheiten melden bzw. beantragen und Arbeitszeit-Korrekturen einreichen; der Inhaber entscheidet darüber. Erfasst werden Zeitraum, eine neutrale Kategorie (Urlaub, Krankheit, Berufsschule, Fortbildung, Sonderurlaub oder sonstige Abwesenheit), der Status und die Entscheidungen — jeweils append-only protokolliert. Eine kurze Notiz ist außerhalb von Krankmeldungen möglich. Krankmeldungen betreffen Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. kurzhand erhebt hierzu bewusst nur den Zeitraum der Arbeitsunfähigkeit („von–bis"), den Bearbeitungsstatus und die Angabe, ob eine Bescheinigung vorliegt — ausdrücklich keine Diagnose, keine Beschwerden, keine Behandlung, keine Medikamente, keinen Arztnamen und keine Datei (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Ein Textfeld gibt es an der Krankmeldung nicht; entsprechende Eingaben werden serverseitig zurückgewiesen. Verantwortlicher für diese Beschäftigtendaten ist der Betrieb; die Verarbeitung stützt sich regelmäßig auf Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit den arbeits- und sozialrechtlichen Vorschriften, insbesondere zur Entgeltfortzahlung (§ 5 EFZG), ergänzend auf § 26 Abs. 3 BDSG (Ausübung von Rechten und Pflichten aus dem Arbeitsrecht). kurzhand verarbeitet sie ausschließlich im Auftrag des Betriebs. Eine Lohn- oder Entgeltberechnung findet nicht statt; ein Hinweis auf die gesetzliche Lohnfortzahlung (§ 3 EFZG) dient nur der Orientierung und enthält keine Beträge.

e) Team-Protokoll. Team-bezogene Vorgänge (Versand, Annahme und Widerruf von Einladungen, Auftragszuweisungen, Aktivierung/Deaktivierung von Mitgliedern, Urlaubs-/Krankheits- und Korrektur-Entscheidungen sowie höchstens eine Anmelde-Notiz je Monteur und Tag) werden in einem nur für den Inhaber einsehbaren, nicht veränderbaren Protokoll gespeichert. Zweck ist die Nachvollziehbarkeit und Sicherheit der Team-Verwaltung (Art. 6 Abs. 1 lit. b und f DSGVO, Art. 32 DSGVO).

f) Sichtbarkeit und Trennung. Der Inhaber sieht die Zeiteinträge eines Monteurs nur für den Zeitraum der Team-Zugehörigkeit; nach einer Deaktivierung erfasste private Einträge des (ehemaligen) Monteur-Kontos sind für den Betrieb nicht einsehbar. Umgekehrt sind Angebote, Rechnungen, Preise, Beträge und Umsatzdaten des Betriebs für Monteur-Konten technisch nicht zugänglich. Für ausschließlich zugewiesene Aufträge sehen Monteure die für den Einsatz erforderlichen Kunden- und Auftragsangaben (insbesondere Name und Adresse des Kunden, Tätigkeitsbeschreibung sowie Positionsbezeichnung, Menge und Einheit). Die Trennung wird datenbankseitig durch eine auf diese Felder beschränkte Ansicht und Zuweisungsprüfung durchgesetzt (Abschnitt 8).

g) Speicherdauer. Team-, Abwesenheits- und Änderungsprotokolle werden für die Dauer des Bestehens des jeweiligen Betriebs-Kontos zu Nachweiszwecken aufbewahrt. Bei Löschung des Monteur- bzw. Betriebs-Kontos gelten die Regelungen in Abschnitt 11 (Speicherdauer) entsprechend.

Im Rahmen der Plattformverwaltung haben ausschließlich die Gesellschafter der Rolsing & Kokorin GbR administrativen Zugriff auf Kunden- und Vertragsdaten (z. B. Konto-, Angebots-, Auftrags- und Rechnungsdaten). Dieser Zugriff dient der Erbringung des vertraglich vereinbarten Dienstes, der technischen Unterstützung bei Supportanfragen sowie der Aufrechterhaltung der Plattformsicherheit.

Auf Inhalte, die wir im Auftrag eines Betriebs verarbeiten (etwa dessen Kunden-, Angebots- und Beschäftigtendaten), greifen wir ausschließlich im Rahmen des Auftragsverarbeitungsvertrags zu — also zur Erbringung des Dienstes, auf Anfrage des Betriebs oder zur Behebung einer Störung — und nie für eigene Zwecke. Für Konto-, Vertrags- und Sicherheitsdaten, für die wir selbst Verantwortlicher sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie, soweit der Zugriff darüber hinausgeht (z. B. Missbrauchsprävention, technische Fehleranalyse), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Der Zugriff ist technisch und organisatorisch abgesichert durch mehrstufige Authentifizierung (Identitätsprüfung, Berechtigungsprüfung, E-Mail-Code-Bestätigung) und serverseitige Zugriffskontrollen; administrative Zugriffe werden protokolliert (Audit-Log) gemäß Art. 32 DSGVO.

Der Anbieter trifft folgende technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

Für die Verarbeitung im Auftrag eines Betriebs ist Anlage 2 zum Auftragsverarbeitungsvertrag vertraglich maßgeblich; die Aufstellung hier beschreibt den aktuellen Stand der Maßnahmen. Weitere technische Angaben stellen wir auf Anfrage unter datenschutz@kurzhand.de zur Verfügung.

Wir setzen die nachfolgend genannten Empfänger und Dienstleister ein. Dienstleister, die personenbezogene Daten weisungsgebunden für uns verarbeiten, sind Auftragsverarbeiter im Sinne des Art. 28 DSGVO. Bei Stripe ist die Rolle nach Verarbeitungszweck aufgeteilt (Doppelrolle) — die Einzelheiten stehen in Abschnitt 3 d).

Ein Teil der in Abschnitt 9 genannten Empfänger verarbeitet Daten außerhalb der EU/des EWR oder gehört zu einer Unternehmensgruppe mit Sitz außerhalb der EU. Für jeden Empfänger gilt genau der Mechanismus, der in Abschnitt 9 in der Zeile „Drittland“ steht. Nach Empfängern gruppiert:

Soweit wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework stützen, sehen die Verträge mit den Anbietern zusätzlich EU-Standardvertragsklauseln vor. Die Gültigkeit des Angemessenheitsbeschlusses ist Gegenstand eines beim Gerichtshof der Europäischen Union anhängigen Verfahrens. Würde er aufgehoben oder die Zertifizierung eines Empfängers beendet, prüfen wir, ob für die Übermittlung auf Grundlage der Standardvertragsklauseln ergänzende Maßnahmen erforderlich sind. Den Zertifizierungsstatus überprüfen wir regelmäßig.

Die genannten Klauseln sind Bestandteil der Auftragsverarbeitungsbedingungen der jeweiligen Anbieter, die sie einbeziehen. Diese Bedingungen sind je nach Anbieter Teil der Nutzungsbedingungen unseres Kontos oder im Konto ausdrücklich angenommen.

Bei der Auslieferung der Anwendung über Vercel werden technische Verbindungsdaten — insbesondere die IP-Adresse — an Server in den USA übermittelt und dort kurzzeitig in Betriebs- und Sicherheitsprotokollen verarbeitet. Die aktiven Anwendungsdaten (Konto-, Kunden-, Angebots- und Rechnungsdaten) liegen in der Datenbank in der EU. Unsere Datensicherungen werden ausschließlich verschlüsselt auf einem eigenen Server in Deutschland abgelegt; ein Cloud-Anbieter außerhalb der EU ist daran nicht beteiligt.

Eine Kopie der jeweils vereinbarten Standardvertragsklauseln erhalten Sie unter datenschutz@kurzhand.de (Art. 13 Abs. 2 lit. f DSGVO).

Personenbezogene Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die maßgeblichen Fristen im Einzelnen:

• Auftragsdaten des Betriebs wie Kunden, Angebote, Aufträge, Rechnungen, Arbeitszeiten und Abnahmen bleiben während des Bestehens des Kontos gespeichert. Bei einer reinen Tarifkündigung bleiben sie im kostenlosen Konto erhalten; bei Kontolöschung werden sie aus den aktiven Systemen gelöscht. Eigene Aufbewahrungspflichten des Betriebs sind von ihm durch einen rechtzeitigen Export außerhalb von kurzhand zu erfüllen.
• Eigene Unterlagen der GbR zum Nutzungs-, Zahlungs- und Abrechnungsverhältnis werden getrennt von den im Auftrag gespeicherten Kundendokumenten nur so lange aufbewahrt, wie dies für Vertragserfüllung, gesetzliche Nachweise oder Rechtsverteidigung erforderlich ist.
• Server-Logs / Verbindungsdaten (u. a. IP-Adressen): nach Ablauf der beim jeweiligen Infrastruktur-Dienstleister eingestellten Aufbewahrungsdauer oder früher, wenn sie für Betrieb und Sicherheit nicht mehr erforderlich sind.
• Verschlüsselte Sicherungen: Wir sichern Datenbank und Dateispeicher täglich, verschlüsselt, auf einem eigenen Server in Deutschland. Aufbewahrt werden die letzten 14 Tagesstände, 8 Wochenstände und 12 Monatsstände; ältere Stände werden automatisch gelöscht. Nach einer Kontolöschung können Daten deshalb in der Regel bis zu 13 Monate in diesen Sicherungen enthalten bleiben; fällt die Sicherung zeitweise aus, ruht die Löschung alter Stände bis zum nächsten erfolgreichen Lauf. Die Sicherungen werden ausschließlich zur Wiederherstellung nach einem Datenverlust verwendet; nach einer Wiederherstellung werden zuvor ausgeführte Kontolöschungen erneut angewendet.
• Authentifizierungs-Cookies / Session-Daten: bis zur Abmeldung oder zum Ablauf der in der jeweils eingesetzten Authentifizierungs-Konfiguration festgelegten Sitzung.
• Support-E-Mails: bis das Anliegen abgeschlossen ist und, soweit erforderlich, darüber hinaus zur Vertragsabwicklung, Rechtsverteidigung oder zur Erfüllung gesetzlicher Pflichten.
• Support-Tickets im Konto (Abschnitt 3 h): für die Dauer des Kontos; sie werden mit der Kontolöschung gelöscht.
• Nutzungsereignisse des Kontos (Abschnitt 3 p): für die Dauer des Kontos; sie werden mit der Kontolöschung gelöscht, auf Widerspruch auch vorher.
• Newsletter nach Abmeldung (Abschnitt 4): Die E-Mail-Adresse bleibt mit dem Vermerk der Abmeldung und dem Nachweis der früheren Einwilligung gespeichert, solange das erforderlich ist, um die Abmeldung dauerhaft zu beachten und die Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. c und f DSGVO).
• Eigene Rechnungen und Buchungsbelege der GbR: acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, jeweils ab Ende des Kalenderjahres (§ 147 AO, § 257 HGB, § 14b UStG).
• Herkunft der Registrierung (Abschnitt 13): für die Dauer des Kontos; sie wird mit der Kontolöschung entfernt. Auf Widerspruch nach Art. 21 DSGVO löschen wir sie auch vorher.
• Kurzfragen (Abschnitt 3 n): Ihre Antworten für die Dauer des Kontos; sie werden mit der Kontolöschung entfernt, auf Widerspruch auch vorher.
• Feedback (Abschnitt 3 n): 24 Monate ab Eingang, danach täglich automatisch gelöscht; mit der Kontolöschung oder auf Widerspruch auch früher.
• Kundenstimmen (Abschnitt 3 o): bis zum Widerruf bzw. zur Kontolöschung; der Nachweis der Freigabe und eines Widerrufs für die Dauer des Kontos. Nach einer Kontolöschung bewahren wir nur die Kennung einer zuvor freigegebenen Kundenstimme auf, bis sie von allen Kanälen entfernt ist — ohne Namen und ohne Text.
• Zählwerte der Verweisseite /links (siehe Abschnitt 13): 180 Tage ab Entstehung; ältere Einträge werden täglich automatisch gelöscht. Diese Einträge enthalten keine personenbezogenen Daten; die Frist ist eine selbst gesetzte Begrenzung, damit auch anonyme Zählwerte nicht auf Vorrat gespeichert werden.

Supabase setzt für die Anmeldung erforderliche Authentifizierungs-Cookies; deren konkrete Attribute richten sich nach Sitzung, Browser und eingesetzter Supabase-SSR-Konfiguration. Für das Speichern bzw. Auslesen dieser unbedingt erforderlichen Informationen ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Ebenfalls technisch erforderlich und deshalb einwilligungsfrei sind im angemeldeten Bereich: ein Cookie für Ihre Anzeigeeinstellungen (kh_display_v1, Laufzeit ein Jahr), die Kennung des zuletzt angemeldeten Kontos im Local Storage sowie ein Zwischenspeicher Ihrer Kontodaten im Browser (IndexedDB), damit kurzhand auch bei schlechter Verbindung auf der Baustelle nutzbar bleibt. Der Zwischenspeicher ist an Ihr Konto gebunden und wird beim Abmelden gelöscht. Ihre Entscheidung im Einwilligungsbanner wird ebenfalls im Local Storage gespeichert.

Auf den öffentlichen Anmeldeformularen (Registrierung, Anmeldung, Passwort vergessen) und bei einzelnen sicherheitsrelevanten Formularen im angemeldeten Bereich wird zusätzlich der Bot-Schutz Cloudflare Turnstile geladen. Er ist eine Sicherheitsmaßnahme und kein optionales Analysewerkzeug: Ohne ihn wären diese Formulare automatisierten Angriffen auf Benutzerkonten schutzlos ausgesetzt. Der Zugriff auf Informationen Ihres Endgeräts ist dafür im Sinne des § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich und deshalb einwilligungsfrei. Turnstile setzt in der hier eingesetzten Konfiguration keine Cookies. Welche Daten dabei an Cloudflare übermittelt werden, steht in Abschnitt 9.

Alle optionalen Werkzeuge — Microsoft Clarity, Vercel Analytics und die Fehlerdiagnose im Browser (Sentry) — werden erst geladen, nachdem Sie über die Datenschutz-Einstellungen ausdrücklich in die Kategorie „Analyse und Fehlerdiagnose“ eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Solange keine Einwilligung vorliegt, wird keines dieser Programme geladen und es entsteht keine Verbindung zu den genannten Anbietern. Das gilt auch, wenn Sie die Entscheidung noch gar nicht getroffen haben.

Nur mit dieser Einwilligung merkt sich Ihr Browser außerdem bis zum Schließen des Tabs (Session Storage), über welche Quelle Sie auf unsere Website gekommen sind, mit welcher Kampagnenkennung und auf welcher unserer Seiten Sie eingestiegen sind; rufen Sie den öffentlichen Angebotsassistenten über einen Link mit Quellenangabe auf, wird diese bis zu sieben Tage im Local Storage gespeichert. Widerrufen Sie die Einwilligung, werden diese Angaben gelöscht. Diese Angaben dienen der Reichweitenmessung und dem Herkunftsvermerk bei einer Registrierung (Abschnitt 13). Ohne Einwilligung wird nur die Herkunft der gerade aufgerufenen Seite ausgewertet und zu diesem Zweck nichts auf Ihrem Endgerät gespeichert.

Auf der Verweisseite /links (dem Ziel unseres Instagram-Profils) wird gar kein optionales Werkzeug geladen und es wird dort auch nichts auf Ihrem Endgerät gespeichert oder ausgelesen — weder Cookies noch Local Storage, Session Storage oder vergleichbare Kennungen. Deshalb erscheint dort kein Einwilligungsbanner. Die dortige anonyme Zählung (Abschnitt 13) kommt ohne jeden Zugriff auf Ihr Endgerät aus; § 25 TDDDG ist auf sie nicht anwendbar.

Optionale Analyse-Cookies von Microsoft Clarity werden entsprechend erst gesetzt oder ausgelesen, nachdem Sie eingewilligt haben. Die Entscheidung wird ohne personenbezogene Angaben in Ihrem Browser gespeichert. Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir zusätzlich serverseitig den Zeitpunkt, die Version des Einwilligungstextes und den gewählten Umfang jeder Entscheidung (Erteilung wie Widerruf) zusammen mit einer zufälligen Kennung — ohne IP-Adresse und ohne Verbindung zu einem Nutzerkonto. Sie können Ihre Entscheidung jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen.

kurzhand erstellt keine Nutzerprofile zu Werbezwecken, verbindet die Daten der Analysewerkzeuge dieses Abschnitts nicht mit Nutzerkonten (davon getrennt: die Nutzungsereignisse nach Abschnitt 3 p) (freiwillige Angaben, die Sie im Konto selbst machen, beschreibt Abschnitt 3 n) und übermittelt an Microsoft Clarity keine eigenen Nutzer-, Kunden-, Account- oder Dokumentkennungen. Die Einwilligung für werbebezogene Speicherung wird technisch verweigert.

Davon zu unterscheiden ist ein einzelnes Merkmal, das bei der Registrierung entsteht: Wenn Sie über eine unserer eigenen Werbeflächen zu uns kommen, wird die dabei ermittelte Quellenangabe (z. B. „instagram“) einmalig beim neu angelegten Konto vermerkt. Sie stammt aus einem Parameter im aufgerufenen Link oder aus der Einordnung der verweisenden Seite in eine feste Liste. Das ist keine Verknüpfung von Analysedaten mit Ihrem Konto — die anonymen Aufrufe und Klicks der Verweisseite bleiben ohne jede Kennung und werden Ihrem Konto weder zugeordnet noch nachträglich zugeordnet werden können. Einzelheiten unten in diesem Abschnitt.

Zur datensparsamen, pseudonymisierten Reichweitenmessung setzen wir Vercel Analytics ein — ein cookie-freies Analysewerkzeug. IP-Adresse und User-Agent werden dabei nur kurzzeitig zur Bildung eines tagesaktuellen Hashs verarbeitet und nicht dauerhaft gespeichert; diese Pseudonymisierung lässt keine langfristige Wiedererkennung zu. Das Messskript wird erst geladen, nachdem Sie eingewilligt haben; Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Wir stützen die Reichweitenmessung damit bewusst auf Ihre Einwilligung und nicht auf ein berechtigtes Interesse, obwohl das Werkzeug ohne Cookies auskommt. Sie können die Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Auf der Verweisseite /links — dem Ziel des Links in unserem Instagram-Profil — zählen wir stattdessen anonym und ohne Drittanbieter, wie oft die Seite aufgerufen und welche der dortigen Schaltflächen angetippt wird. Dazu sendet die Seite an unseren eigenen Server je Ereignis ausschließlich: die Bezeichnung des Ereignisses aus einer festen Liste (Seitenaufruf, Klick auf „Kostenlos testen“, „Demo ansehen“, „Was kurzhand kann“, „Was es kostet“, „Schreib uns“), eine Herkunft aus einer festen Liste (z. B. „instagram“ oder „direkt“) sowie — falls im Link enthalten — eine kurze Kampagnenkennung aus Buchstaben, Ziffern, Binde- und Unterstrich. Die Herkunft ergibt sich aus einem Parameter im Link oder aus der Einordnung der verweisenden Seite in diese feste Liste; die Adresse der verweisenden Seite selbst wird nicht übertragen und nicht gespeichert. Den Zeitpunkt setzt unser Server.

Ausdrücklich nicht gespeichert werden dabei: IP-Adresse, ein Hash oder sonstige Ableitung der IP-Adresse, User-Agent/Gerätedaten, Bildschirmmaße, Verweis-URL, Cookies oder sonstige Kennungen, eine Besucher-, Sitzungs- oder Kontokennung, ein Fingerabdruck des Geräts sowie Aufzeichnungen des Seitenverlaufs. Ihre IP-Adresse wird beim Aufruf der Schnittstelle technisch übertragen und ausschließlich flüchtig für eine Missbrauchsbremse (Anfragenbegrenzung) verwendet; sie wird nicht protokolliert und nicht gespeichert. Für diese Bremse wird — wie für die übrigen Formulare der Website — der Dienst von Upstash eingesetzt (Abschnitt 9); dort entsteht ein kurzlebiger Zähler je Adresse, kein Eintrag in unserer Zähltabelle.

Aus einem gespeicherten Eintrag lässt sich weder allein noch im Zusammenspiel mit den übrigen Einträgen eine Person bestimmen; ein erneuter Aufruf derselben Person ist von dem Aufruf einer anderen Person nicht unterscheidbar. Wir werten deshalb Aufrufe und Klicks aus, nicht Besucher — eine Wiedererkennung ist technisch nicht vorgesehen und wird auch nicht angestrebt. Nach unserer Einschätzung handelt es sich bei den gespeicherten Einträgen daher nicht um personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO; soweit man dies im Einzelfall anders beurteilen wollte, stützen wir die Verarbeitung auf unser berechtigtes Interesse an der Messung der Reichweite und Wirksamkeit unserer eigenen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem nach Art. 21 DSGVO jederzeit über die in Abschnitt 1 genannten Kontaktdaten widersprechen. Empfänger sind ausschließlich die in Abschnitt 9 bereits genannten Dienstleister für Hosting und Datenbank (Vercel, Supabase); ein zusätzlicher Auftragsverarbeiter kommt nicht hinzu. Die Einträge werden nach 180 Tagen automatisch gelöscht (Abschnitt 11).

Herkunft der Registrierung. Führt ein Link mit Herkunftsangabe zu einer Registrierung — von der Verweisseite, aus einem unserer Briefe (QR-Code) oder ein Link mit Kampagnenparametern (utm_source, utm_campaign) —, speichern wir beim neu angelegten Konto zwei Angaben: die Quelle aus derselben festen Liste (z. B. „instagram“, „qr“ oder „direkt“) und, falls im Link enthalten, die kurze Kampagnenkennung. Technisch ermittelt wird nicht mehr — insbesondere keine besuchten Seiten, keine Verweis-URL, keine IP-Adresse, keine Gerätekennung und keinen Verlauf Ihres Besuchs. Der Zeitpunkt ergibt sich aus dem Anlagedatum des Kontos.

Der Zweck ist die Erfolgskontrolle unserer eigenen Werbung: Wir möchten wissen, welche unserer Marketingflächen zu Konten führt, und nicht mehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der wirtschaftlichen Steuerung der eigenen Werbeausgaben, dem gegenüber die Angabe einer Herkunftskategorie ohne Verhaltensdaten nur geringfügig in Ihre Rechte eingreift. Sie können dem nach Art. 21 DSGVO jederzeit über die in Abschnitt 1 genannten Kontaktdaten widersprechen; wir löschen den Vermerk dann.

Die Angabe wird ausschließlich beim Anlegen des Kontos gesetzt und danach nicht mehr verändert — auch nicht bei späteren Anmeldungen oder Seitenaufrufen. Werte, die nicht in der festen Liste stehen, werden serverseitig verworfen statt gespeichert. Wer ohne erkennbare Werbequelle registriert (etwa über eine Team-Einladung, einen Einladungscode oder ein Lesezeichen), erhält keinen Vermerk; bestehende Konten haben keinen technischen Vermerk und bekommen auch keinen nachträglich. Die Angabe wird mit dem Konto gelöscht (Abschnitt 11) und ist im Datenexport enthalten. Unabhängig davon können Sie uns im Konto freiwillig selbst sagen, wie Sie auf kurzhand aufmerksam geworden sind (Abschnitt 3 n). Diese Angabe steht neben dem technischen Vermerk; keiner der beiden wird aus dem anderen ergänzt oder überschrieben.

Zur Fehlerdiagnose kann im Browser zusätzlich das Programm unseres Auftragsverarbeiters Sentry laufen. Es meldet technische Fehler der Anwendung — Fehlermeldung, betroffene Stelle im Programm, Browser- und Gerätetyp sowie die aufgerufene Adresse. Request-Inhalte, der Zugangscookie und definierte sensible Adressfelder werden vor dem Versand entfernt; die Aufzeichnung von Sitzungen (Session Replay) ist abgeschaltet. Auch dieses Programm wird erst nach Ihrer Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Widerrufen Sie, wird die Übermittlung sofort beendet.

Davon zu unterscheiden ist das Fehler-Monitoring auf unseren Servern. Fehler, die dort beim Verarbeiten Ihrer Anfrage entstehen, werden unabhängig von einer Einwilligung an Sentry gemeldet. Dabei werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen, § 25 TDDDG ist nicht einschlägig. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb); ohne diese Meldungen ließen sich Störungen und Sicherheitsvorfälle nicht erkennen und beheben. Sie können dem nach Art. 21 DSGVO jederzeit widersprechen.

Zusätzlich verwenden wir Microsoft Clarity ausschließlich nach Ihrer freiwilligen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Anbieter ist Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA; im Europäischen Wirtschaftsraum ist regelmäßig die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, beteiligt.

Clarity hilft uns zu verstehen, wie ausgewählte öffentliche Marketing- und Ratgeberseiten genutzt werden. Dazu können Heatmaps und rekonstruierte Sitzungsabläufe erstellt sowie Interaktionsdaten (z. B. Klicks, Scrollbewegungen und Seitenaufrufe), ungefähre Standortinformationen und technische Geräte-, Browser- und Verbindungsdaten verarbeitet werden. Der gesamte Seiteninhalt wird durch ein anwendungsseitiges Maskierungsattribut für Clarity maskiert; Eingabefelder werden von Clarity zusätzlich standardmäßig maskiert. Auf Seiten mit URL-Parametern wird Clarity nicht gestartet.

Clarity wird nicht auf Login-, Registrierungs-, Authentifizierungs-, Kunden-, Angebots-, Auftrags-, Rechnungs-, Account-, Zahlungs-, Support-, Kontakt- oder Verwaltungsseiten und nicht in der interaktiven Demo eingesetzt. Beim Verlassen des freigegebenen Marketingbereichs wird die Analyselaufzeit durch eine vollständige Seitennavigation entfernt.

Nach der aktuellen Microsoft-Dokumentation werden Wiedergabedaten 30 Tage und Klick-/aggregierte Seitendaten, Heatmaps sowie markierte oder favorisierte Sitzungen bis zu 9 Monate gespeichert. Nach Ablauf sollen die Daten einschließlich Backups gelöscht werden. Sie können Ihre Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen; dabei werden die erreichbaren Clarity-Cookies gelöscht und die laufende Analyse wird beendet. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Weitere Informationen finden Sie in der Datenschutzerklärung von Microsoft.

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – für das gesamte Konto in der Anwendung verfügbar; eigene gesetzlich aufzubewahrende Vertrags- und Abrechnungsnachweise der GbR werden davon getrennt behandelt
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – in der Anwendung über die Export-Funktion verfügbar
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21 DSGVO) — siehe den gesonderten Hinweis unten
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt

Eine ausschließlich automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@kurzhand.de.

Betrifft Ihr Anliegen Daten, die ein Handwerksbetrieb in kurzhand über Sie gespeichert hat — etwa als dessen Kunde oder Beschäftigter —, ist dieser Betrieb Verantwortlicher. Wenden Sie sich bitte zuerst an ihn. Erreicht uns Ihre Anfrage, leiten wir sie unverzüglich an den Betrieb weiter und unterstützen ihn bei der Beantwortung.

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Zuständige Aufsichtsbehörde für kurzhand (Unternehmenssitz gemäß § 40 BDSG):

Für den Abschluss und die Durchführung des Nutzungsvertrags ist die Bereitstellung der vertrags- und abrechnungsrelevanten Daten erforderlich. Ohne diese Daten kann der Dienst nicht oder nicht vollständig bereitgestellt werden.

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Verarbeitung oder der Rechtslage dies erforderlich machen. Es gilt die jeweils auf dieser Seite veröffentlichte aktuelle Fassung.

Bei Fragen zum Datenschutz erreichen Sie uns unter: datenschutz@kurzhand.de