Datenschutz – Report vor Ort

1. Verantwortlicher: Verantwortlich für die Datenverarbeitung auf dieser Website ist [Firmenname], [Anschrift]. Kontakt Datenschutz: [Datenschutz-E-Mail].

2. Hosting und Infrastruktur: Die Website wird self-hosted auf Servern der Hetzner Online GmbH (Deutschland/EU) betrieben. Anwendung (Payload CMS, Astro-Frontend), Datenbank (PostgreSQL) und optional Object Storage (Hetzner) verbleiben in unserer Verantwortung bzw. bei EU-basierten Auftragsverarbeitern. Server-Logfiles (IP-Adresse gekürzt bzw. pseudonymisiert, Zeitstempel, angeforderte URL, User-Agent) werden zur Sicherstellung des Betriebs und zur Abwehr von Angriffen verarbeitet; Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

3. Cookies und Einwilligungen: Wir setzen standardmäßig nur technisch notwendige Cookies. Optionale Kategorien werden erst nach Ihrer Einwilligung über das Cookie-Banner aktiviert: Essenziell (Grundfunktionen, Consent-Speicher, Sprache), Social Media (externe Einbettungen wie YouTube, Instagram, LinkedIn, OpenStreetMap/uMap, Vimeo, X/Twitter), Statistiken (First-Party-Reichweitenmessung), Marketing (HTML-Werbeinhalte / House Ads mit externen Skripten). Sie können Ihre Einwilligung jederzeit widerrufen – siehe Abschnitt 10.

5. Consent-Logs (Nachweis): Cookie-Entscheidungen werden pseudonym über /api/consent/log protokolliert: Zeitpunkt, Consent-Typ (alle akzeptieren / nur notwendige / individuelle Auswahl), Consent-Revision, Locale, gehashte Session-ID (kein Klartext-Cookie), akzeptierte Kategorien, Browser-Familie und Seitenpfad. Aufbewahrung: 24 Monate; ältere Einträge werden automatisch gelöscht. Rechtsgrundlage bei Einwilligung: Art. 6 Abs. 1 lit. a DSGVO.

6. First-Party-Statistik (Analytics): Bei Zustimmung zur Kategorie Statistiken erheben wir aggregierte Nutzungsstatistiken ausschließlich über unsere eigene Infrastruktur (kein Google Analytics o. Ä.). Über /api/analytics/collect werden Ereignisse wie Seitenaufrufe, Scrolltiefe, aktive Lesezeit, interne Suche (ohne Klartext-Suchbegriffe), Newsletter-Anmeldungen (nur gehashte Kennung), Medienwiedergabe und technische Web-Vitals übermittelt – ohne Namen, E-Mail-Adressen oder vollständige IP-Adressen. Besucher werden serverseitig über eine gehashte, pseudonyme Kennung abgebildet. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

7. Externe Inhalte (Zwei-Klick-Embeds): Einbettungen von Drittanbietern werden erst nach Zustimmung zur Kategorie Social Media geladen. HTML-Werbeinhalte (House Ads) erst nach Zustimmung zur Kategorie Marketing. Dabei können personenbezogene Daten (z. B. IP-Adresse, Geräteinformationen) an die jeweiligen Anbieter übermittelt werden; Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

8. Suche (First-Party): Die Website-Suche nutzt unsere eigene Infrastruktur. Bei aktivierter Meilisearch-Instanz (self-hosted) werden Suchanfragen an unseren Index übermittelt; ohne Meilisearch erfolgt ein Fallback über die Payload-API. Es werden keine Suchprofile an externe Tracking-Dienste übergeben. Suchbegriffe werden in der Statistik nicht im Klartext gespeichert.

9. Newsletter: Wenn Sie sich für unseren Newsletter anmelden, speichern wir ausschließlich eine gehashte Form Ihrer E-Mail-Adresse in unserer Datenbank (newsletter_subscribers) – nicht den Klartext. Die Anmeldung wird zur Missbrauchsprävention rate-limitiert (gehashte Client-IP, konfigurierbares Zeitfenster). Unabhängig davon, ob eine Adresse bereits registriert ist, erhalten Sie dieselbe neutrale Bestätigungsantwort (kein Hinweis auf bestehende Registrierungen). Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Widerruf jederzeit z. B. per Abmeldelink oder E-Mail an [Datenschutz-E-Mail].

10. Betroffenenrechte: Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) ist jederzeit möglich, z. B. über „Cookie-Einstellungen“ im Footer der Website – dort können Sie Kategorien anpassen oder auf „Nur notwendige“ zurücksetzen.

11. Beschwerderecht bei einer Aufsichtsbehörde: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständige Aufsichtsbehörde: [Zuständige Aufsichtsbehörde eintragen].

12. Speicherdauer und Löschung: Roh-Events der First-Party-Statistik werden nach 90 Tagen gelöscht. Consent-Logs werden nach 24 Monaten gelöscht. Newsletter-Daten (gehashte E-Mail) bleiben gespeichert, bis Sie Ihre Einwilligung widerrufen oder wir den Versand einstellen. Server-Logfiles werden nach betriebsüblichen Fristen rotiert.