Datenschutzerklärung

1. Verantwortlicher

Florian Mielke
Bleicherwiesen 14
31224 Peine
Deutschland
E-Mail: [email protected]

2. Geltungsbereich und Rollen

Diese Datenschutzerklärung gilt für die Website, öffentliche Profilseiten, Badges, QR-Codes und die API von FreelanceLink sowie für Konten, Abonnements, Support und Geschäftskontakte. Ich entscheide bei diesen Verarbeitungen über Zwecke und Mittel.

3. Website und technische Bereitstellung

Beim Aufruf der Website, einer öffentlichen Profilseite, eines auf einer anderen Website eingebundenen Badges oder der API verarbeiten die eingesetzten Systeme technische Anfragedaten. Dazu können IP-Adresse, Zeitpunkt, Zieladresse, HTTP-Methode, Statuscode, übertragene Datenmenge, Referrer, User-Agent, Request-ID und Sicherheitsereignisse gehören.

Ich verarbeite diese Daten, um FreelanceLink auszuliefern, Angriffe abzuwehren, Fehler zu untersuchen und den sicheren Betrieb nachzuweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen liegen im sicheren und zuverlässigen Betrieb des Dienstes.

Cloudflare verarbeitet Netzwerkdaten, darunter IP-Adressen und daraus abgeleitete Sicherheitsbewertungen, auch für eigene Sicherheits- und Betriebszwecke in eigener Verantwortung. Weitere Angaben einschließlich der Aufbewahrungskriterien enthält die Datenschutzerklärung von Cloudflare.

Zur Reichweitenmessung der Website setze ich Plausible Analytics der Plausible Insights OÜ als Auftragsverarbeiter ein. Plausible verarbeitet aufgerufene Seite, Referrer, aus dem User-Agent abgeleitete Browser-, Betriebssystem- und Gerätetypangaben, einen aus der IP-Adresse abgeleiteten ungefähren Standort, Scrolltiefe und aktive Verweildauer sowie Klicks auf externe Links, Downloads und Formularabsendungen ohne Formularinhalte. Zur Zählung von Besuchern bildet Plausible aus IP-Adresse und User-Agent einen täglich wechselnden Hashwert; IP-Adresse und User-Agent werden nicht gespeichert. Plausible setzt keine Cookies. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Auswertung der Websitenutzung in zusammengefasster Form.

4. Konto und Anmeldung

Bei Registrierung und Nutzung von FreelanceLink verarbeite ich:

• E-Mail-Adresse;
• Passwort-Hash und E-Mail-Verifizierungsstatus;
• Konto-, Tarif- und Zeitangaben;
• Sitzungskennung, IP-Adresse und User-Agent;
• Google-Kontokennung bei der Anmeldung mit Google;
• API-Schlüssel.

Ist die betroffene Person selbst Vertragspartei, dient die Verarbeitung dem Vertragsschluss und der Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO. Bei Beschäftigten oder sonstigen Vertretern eines Unternehmenskunden beruht sie auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in Abschluss, Verwaltung und Durchführung des Vertrags mit dem Kunden.

E-Mail-Adresse und entweder ein Passwort oder ein Google-Konto sind für die Kontoerstellung erforderlich. Ohne diese Angaben kann ich kein Konto bereitstellen.

Zum Schutz vor automatisierten und missbräuchlichen Registrierungen setze ich Cloudflare Turnstile der Cloudflare, Inc. ein. Rechtsgrundlage ist das entsprechende berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Cloudflare verarbeitet IP-Adressen sowie Browser- und Gerätemerkmale in meinem Auftrag und zur Verbesserung der Bot-Erkennung in eigener Verantwortung. Erforderliche Endgerätezugriffe beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Ohne erfolgreiche Sicherheitsprüfung ist keine Registrierung mit E-Mail und Passwort möglich. Weitere Angaben enthält das Turnstile Privacy Addendum.

Bei der Anmeldung mit Google übermittelt Google mir die Google-Kontokennung, die E-Mail-Adresse, deren Verifizierungsstatus und bei Google-Workspace-Konten die Domain. Google Ireland Limited, Irland, und Google LLC, USA, verarbeiten Anmeldedaten in eigener Verantwortung. Weitere Informationen enthält die Datenschutzerklärung von Google.

5. Profil und öffentliche Seiten

Im Konto können Benutzername, Vor- und Nachname, Berufsbezeichnung, Bio, ein Link, ein Avatar, Projekte mit Start- und Enddatum, Auslastung und privater Notiz sowie Textbausteine hinterlegt werden. Sobald die E-Mail-Adresse verifiziert ist, das Profil Benutzername und Nachname enthält und das Konto eine aktive Testphase oder ein Abonnement hat, sind Profilseite, Badge und Linkvorschaubild öffentlich abrufbar, auch für Suchmaschinen. Private Notizen, Textbausteine und der API-Schlüssel sind nur im Konto sichtbar. Es gelten die in Abschnitt 4 genannten Rechtsgrundlagen.

Avatare und Linkvorschaubilder werden in einem Objektspeicher in der EU gespeichert und von dort ausgeliefert.

6. Abonnement und Zahlung

Ich verarbeite Tarif, Testzeitraum, Abonnementstatus sowie Stripe-Kunden- und Abonnementkennungen. Für Abonnement und Zahlung übermittle ich Stripe die verifizierte E-Mail-Adresse, die Kontokennung und den gewählten Tarif. Zahlungsdaten werden im Stripe Checkout, Billing Portal oder bei Link erhoben. Ich erhalte von Stripe nur die für Abonnement, Rechnung und Zahlungsstatus erforderlichen Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die betroffene Person Vertragspartei ist. Für Vertreter eines Unternehmenskunden gilt Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Vertragsabrechnung und Zahlungsabwicklung. Steuerrechtliche Verarbeitung beruht auf Art. 6 Abs. 1 lit. c DSGVO.

Stripe verarbeitet Daten im Rahmen von Managed Payments insbesondere zur Bestellverwaltung, Steuerabwicklung, Betrugsprävention und zum Zahlungssupport in eigener Verantwortung. Soweit Stripe Daten nach meiner Weisung verarbeitet, handelt Stripe als Auftragsverarbeiter. Weitere Informationen enthält die Datenschutzerklärung von Stripe.

7. E-Mail, Support und Geschäftskontakte

Ich verarbeite Kontaktangaben, Inhalt, Anhänge und Versandmetadaten, wenn eine Person Support anfragt, eine Geschäftsbeziehung anbahnt oder eine Service-E-Mail erhält.

Bei Anfragen zur Anbahnung oder Durchführung eines Vertrags mit der betroffenen Person gilt Art. 6 Abs. 1 lit. b DSGVO. In anderen Fällen beruht die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; die berechtigten Interessen liegen in der Beantwortung von Anfragen, Kundenbetreuung, Fehlerbehebung und Geschäftskommunikation. Gesetzlich erforderliche Mitteilungen beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Transaktionale E-Mails werden über Amazon SES in Frankfurt (Deutschland) versendet. Eingehende E-Mails werden von Cloudflare weitergeleitet und in Microsoft 365 der Microsoft Ireland Operations Limited, Irland, gespeichert.

8. Cookies und ähnliche Speicherung

Die Website verwendet Speicherungen für Anmeldung, Sicherheit und die vom Nutzer aufgerufenen Funktionen.

Speicherung	Zweck	Speicherdauer
Anmeldekennung	angemeldete Sitzung erkennen und widerrufbar machen	bis zur Abmeldung, zum serverseitigen Widerruf oder zur Kontolöschung
Anwendungssitzung	Sitzungsschutz und technische Sitzungsfunktionen	bis zum Ende der Browsersitzung

Die Speicherung der Anmeldekennung und der Anwendungssitzung beruht auf § 25 Abs. 2 Nr. 2 TDDDG. Soweit die gespeicherten Werte personenbezogen sind, gelten die in den Abschnitten 3 und 4 genannten Rechtsgrundlagen.

Stripe kann im eigenen Checkout und Billing Portal Cookies setzen. Dafür gelten die Hinweise von Stripe.

9. Empfänger

Ich übermittle personenbezogene Daten nur, soweit dies für die genannten Zwecke erforderlich ist. Empfänger können sein:

• Render Services, Inc., USA, für Hosting von Anwendung und Datenbank, Protokollierung und Sicherung, mit Anwendung, Datenbank und Sicherungen in Frankfurt;
• Cloudflare, Inc., USA, für Netzwerkauslieferung und -schutz, Bot-Schutz bei der Registrierung, E-Mail-Weiterleitung und Objektspeicher in der EU;
• Functional Software, Inc. d/b/a Sentry, USA, für Fehlerdiagnose, mit Datenspeicherung in der EU;
• Stripe Payments Europe, Limited, Stripe Technology Europe, Limited und Stripe Technology Company Limited (Irland) sowie Stripe, LLC und Sold through Link, LLC (USA) für Abonnement und Zahlung;
• Amazon Web Services für E-Mail-Versand;
• Microsoft Ireland Operations Limited, Irland, für E-Mail-Hosting mit Microsoft 365;
• Plausible Insights OÜ, Estland, für die Reichweitenmessung der Website;
• Google für die Anmeldung mit Google;
• Rechts-, Steuer- und sonstige Berater, soweit eingesetzt;
• Behörden und Gerichte bei einer gesetzlichen Pflicht.

10. Übermittlungen in Drittländer

Einzelne der in Abschnitt 9 genannten Empfänger haben Unternehmen, Infrastruktur oder Zugriffe außerhalb des Europäischen Wirtschaftsraums, insbesondere in den USA.

Für erfasste Übermittlungen an Render Services, Inc., Cloudflare, Inc., Functional Software, Inc., Microsoft Corporation, Stripe, LLC und Google LLC in den USA gilt der EU-US Data Privacy Framework. Soweit er nicht greift, gelten die im jeweiligen Auftragsverarbeitungsvertrag vereinbarten EU-Standardvertragsklauseln; mit Stripe sind sie ersatzweise im Zusatz zu Datenübermittlungen vereinbart. Sentry kann Daten für Betrieb und technischen Support auch in Kanada verarbeiten; hierfür gilt der Angemessenheitsbeschluss der EU-Kommission für Kanada. Für sonstige Übermittlungen in Länder ohne Angemessenheitsbeschluss nutze ich EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen.

Für Weiterübermittlungen durch Stripe, LLC an Sold through Link, LLC gelten die Schutzvorgaben des Data Privacy Framework beziehungsweise der vereinbarten Standardvertragsklauseln.

Eine Kopie der vereinbarten Schutzregelungen für Datenübermittlungen in Drittländer, insbesondere der EU-Standardvertragsklauseln, kann unter [email protected] angefordert werden.

11. Aufbewahrung und Löschung

Für die Aufbewahrung und Löschung gelten folgende Fristen und Kriterien:

• Konten und operative Daten: während der Vertragslaufzeit einschließlich des unentgeltlichen Basisdienstes. Nach Vertragsende bleiben nur Daten gespeichert, die für gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind;
• Sitzungen: bis zur Abmeldung, zum serverseitigen Widerruf oder zur Kontolöschung;
• Benutzernamen gelöschter Konten: zwölf Monate nach der Kontolöschung reserviert, damit niemand die Profiladresse sofort übernimmt, und anschließend im täglichen Löschlauf gelöscht;
• Anwendungslogs bei Render: sieben Tage;
• Sicherheitsereignisse in Cloudflare Security Events: 24 Stunden;
• Anfragedaten in Cloudflare Security Analytics: sieben Tage;
• Ereignisdaten der Reichweitenmessung bei Plausible: solange sie für die Auswertung der Websitenutzung benötigt werden, längstens bis zum Ende der Nutzung von Plausible;
• Sentry-Ereignisse: nach aktueller Konfiguration 30 Tage;
• Kontakt- und Supportkommunikation: bis zum Abschluss der Bearbeitung; darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.

12. Rechte betroffener Personen

Betroffene Personen können nach Maßgabe der DSGVO verlangen:

• Auskunft;
• Berichtigung;
• Löschung;
• Einschränkung der Verarbeitung;
• Datenübertragbarkeit.

Widerspruchsrecht: Bei Verarbeitungen auf Grundlage berechtigter Interessen besteht ein Widerspruchsrecht aus Gründen der besonderen Situation der betroffenen Person.

Anfragen können an [email protected] gesendet werden.

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für mich ist regelmäßig der Landesbeauftragte für den Datenschutz Niedersachsen zuständig.