Datenschutzerklärung

Diese Website wird bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA gehostet. Beim Aufruf der Website verarbeitet Vercel technisch notwendige Server-Logdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, User-Agent), um die Website auszuliefern und die Sicherheit des Betriebs zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, performanten Betrieb). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist durch die Zertifizierung von Vercel unter dem EU-US Data Privacy Framework sowie Standardvertragsklauseln abgesichert. Logdaten werden von Vercel nur kurzfristig vorgehalten.

Seit dem 23. September 2026 ist diese Messung abgeschaltet. Das Mess-Skript wird nicht mehr eingebunden, und es werden keine Seitenaufrufe mehr erfasst. Die folgende Beschreibung gilt für den Zeitraum von August 2026 bis zum 23. September 2026.

Auf der öffentlichen Website haben wir von August 2026 bis zum 23. September 2026 die Reichweite mit Vercel Web Analytics gemessen — einem Dienst desselben Anbieters, bei dem die Website ohnehin gehostet wird. Wir wollen wissen, welche Seiten gelesen werden und über welche Wege Besucherinnen und Besucher zu uns finden. Mehr nicht: Es entstehen keine Nutzerprofile, keine Wiedererkennung über Websites hinweg und keine Weitergabe an Werbenetzwerke.

Die Messung ist cookiefrei. Es wird kein Cookie gesetzt, und es werden keine Informationen in Ihrem Endgerät gespeichert oder daraus ausgelesen — weder im localStorage noch anderswo. Damit greift § 165 Abs. 3 TKG 2021 hier nicht, und es ist auch weiterhin kein Cookie-Banner nötig.

Pro Seitenaufruf werden ausschließlich verarbeitet: Zeitpunkt des Aufrufs, die aufgerufene Adresse auf dieser Website, die verweisende Seite (Referrer), gefilterte Abfrageparameter, ein grober Standort auf Ebene Land/Region/Stadt, Gerätetyp, Betriebssystem und Browser jeweils mit Version sowie die Version des Mess-Skripts. Adressen, die einen persönlichen Freigabe-Code enthalten (/schmiede/s/…), werden bereits in Ihrem Browser gekürzt, bevor etwas gesendet wird.

Ihre IP-Adresse wird dabei nicht gespeichert. Vercel bildet aus den Daten der Anfrage einen Hash, der ausschließlich dazu dient, wiederholte Aufrufe innerhalb von 24 Stunden als denselben Besuch zu zählen; danach wird er verworfen. Er lässt sich nicht zurückrechnen, und es entsteht daraus keine dauerhafte Kennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Reichweite und technische Qualität unseres Angebots in aggregierter Form nachvollziehen zu können. Ihre Interessen überwiegen nicht, weil die Auswertung anonym und aggregiert erfolgt, keine Profile entstehen und nichts zu Werbezwecken an Dritte fließt.

Vercel ist dabei unser Auftragsverarbeiter nach Art. 28 DSGVO. Es gilt derselbe Auftragsverarbeitungsvertrag und dieselbe Absicherung wie beim Hosting: Zertifizierung unter dem EU-US Data Privacy Framework, ergänzt um Standardvertragsklauseln (siehe Abschnitt 2.1).

Die Messung läuft ausschließlich auf der öffentlichen Website; im Kundenbereich unter /portal findet sie nicht statt. Da wir die Messdaten weder einer Person noch einem Gerät zuordnen können, ist eine nachträgliche Zuordnung oder Löschung einzelner Aufrufe technisch nicht möglich (Art. 11 DSGVO). Wenn Sie die Messung von vornherein unterbinden möchten: Gängige Content-Blocker erkennen und blockieren sie, und ohne aktiviertes JavaScript findet sie gar nicht erst statt.

Seit dem 23. September 2026 ist auch diese Messung abgeschaltet. Das Mess-Skript wird nicht mehr eingebunden, und es werden keine Messwerte mehr erfasst. Die folgende Beschreibung gilt für den Zeitraum von August 2026 bis zum 23. September 2026.

Von August 2026 bis zum 23. September 2026 haben wir auf der öffentlichen Website zusätzlich gemessen, wie schnell die Seiten bei echten Besucherinnen und Besuchern aufbauen — mit Vercel Speed Insights, einem Dienst desselben Anbieters, bei dem die Website ohnehin gehostet wird. Hintergrund: Bisher kannten wir nur Laborwerte vom eigenen Rechner. Wie schnell eine Seite auf einem echten Gerät in einem echten Mobilfunknetz erscheint, sagt ein Laborwert nicht.

Auch diese Messung ist cookiefrei. Es wird kein Cookie gesetzt, und es werden keine Informationen in Ihrem Endgerät gespeichert oder daraus ausgelesen — weder im localStorage noch im sessionStorage noch anderswo. Auch hier greift § 165 Abs. 3 TKG 2021 daher nicht.

Verarbeitet werden ausschließlich technische Messwerte des Seitenaufbaus (etwa: wann das größte Element sichtbar wurde, wie stabil das Layout dabei blieb, wie schnell die Seite auf die erste Eingabe reagierte), dazu die aufgerufene Adresse auf dieser Website, die grobe Verbindungsart Ihres Geräts (z. B. „4g“) sowie die Version des Mess-Skripts. Adressen mit persönlichem Freigabe-Code (/schmiede/s/…) werden auch hier bereits in Ihrem Browser gekürzt, bevor etwas gesendet wird. Es werden keine Cookies, keine Kennungen und keine IP-Adressen gespeichert, und es entstehen keine Nutzerprofile.

Mess-Skript und Übertragung laufen ausschließlich über unsere eigene Adresse (www.hmmr.digital); es wird dabei keine Verbindung zu einer fremden Domain aufgebaut.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die technische Qualität unseres Angebots nicht nur im Labor, sondern unter realen Bedingungen beurteilen und Fehler erkennen zu können. Ihre Interessen überwiegen nicht, weil ausschließlich anonyme technische Messwerte anfallen. Vercel ist auch hier unser Auftragsverarbeiter nach Art. 28 DSGVO; es gilt dieselbe Absicherung wie in Abschnitt 2.1. Wie bei der Reichweitenmessung läuft sie nicht im Kundenbereich unter /portal, und Content-Blocker sowie deaktiviertes JavaScript verhindern sie vollständig.

Seit September 2026 zählen wir auf der öffentlichen Website, welche Programme unsere Seiten abrufen: Suchmaschinen-Crawler wie die von Google und Bing und die Abruf-Programme von KI-Assistenten. Wir wollen wissen, ob unsere Inhalte dort überhaupt ankommen.

Dafür sieht sich unser Server bei jedem Aufruf die vom Browser oder Programm mitgesendete Kennung an (den sogenannten User-Agent). Trägt sie keinen der Namen aus unserer festen Liste von Crawlern, endet die Prüfung sofort und es wird nichts festgehalten. Menschliche Besuche werden hier nicht gezählt — nichts über Ihren Aufruf wird dabei gespeichert.

Wird ein Programm erkannt, speichern wir eine einzige Zeile: das Datum, den Namen des Programms, die aufgerufene Seite dieser Website und einen Zähler, wie oft. Adressen, die keine unserer Seiten sind, halten wir nicht einzeln fest, sondern zählen sie nur gemeinsam als „andere“. Mehr nicht. Es werden keine IP-Adressen, keine Sitzungen und keine Kennungen gespeichert, es wird kein Cookie gesetzt, und in Ihrem Browser wird nichts abgelegt oder ausgelesen — § 165 Abs. 3 TKG 2021 greift hier also ebenfalls nicht. Die Zählung läuft in unserer eigenen Datenbank (Neon, Serverstandort Frankfurt am Main, siehe Abschnitt 5.4), nicht bei einem Analyse-Dienst. Die Zählerstände eines Tages werden nach 180 Tagen automatisch gelöscht.

Ein Crawler ist keine Person, und die gespeicherte Zeile ist keinem Menschen und keinem Gerät zuzuordnen. Wir beschreiben die Zählung hier trotzdem, weil sie bei jedem Aufruf dieser Website mitläuft — auch bei Ihrem — und das gehört gesagt, gerade weil dabei nichts über Sie anfällt. Rechtsgrundlage für das Erkennen und Zählen: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, die Auffindbarkeit des eigenen Angebots zu beurteilen).

• Zugangsdaten — E-Mail-Adresse, optional Ihr Name, und Ihr Passwort ausschließlich als gesalzener Hash (das Passwort selbst ist uns technisch nicht bekannt).
• Hochgeladene Dateien — die Inhalte, die Sie hochladen (z. B. Logos, Fotos), samt Dateiname, Dateityp und Größe. Ein Dateiname kann einen Personennamen enthalten.
• Änderungswünsche — Titel und Beschreibung in Ihren eigenen Worten, sowie die zugeordneten Dateien.
• Betriebsangaben — Öffnungszeiten, Telefonnummer, E-Mail-Adresse, Anschrift, Preise und Hinweise zur Marke, sowie das Datum, an dem Sie diese Angaben zuletzt als aktuell bestätigt haben. Bei Einzelunternehmen sind Telefon, E-Mail und Anschrift personenbezogene Daten.
• Nutzungs- und Sicherheitsdaten — Zeitpunkt der letzten Anmeldung, Browserkennung (User-Agent) der Sitzung sowie ein Protokoll sicherheitsrelevanter Ereignisse (Anmeldung, fehlgeschlagene Anmeldung, Passwortänderung, Datei-Upload).
• Rechnungen — eine Abschrift Ihrer Rechnungen aus unserer Buchhaltung: Rechnungsnummer, Rechnungsdatum, Beschreibung, Betrag, Fälligkeitsdatum und Zahlungsstand (offen oder bezahlt, mit Zahlungsdatum), gegebenenfalls das Datum, an dem wir Sie an eine offene Rechnung erinnert haben, sowie eine Kopie der Rechnung als PDF zum Herunterladen. Unsere Bücher führen wir außerhalb des Kundenbereichs.
• Erreichbarkeit Ihrer Website — Wir rufen die Adresse Ihrer Website einmal pro Stunde von unserem Server aus auf und speichern den Zeitpunkt, ob sie geantwortet hat, den HTTP-Statuscode und die Antwortzeit. Bei derselben Prüfung lesen wir das Ablaufdatum des Sicherheitszertifikats Ihrer Website und — sofern Ihre Website über uns veröffentlicht wird und diese Angabe bereitstellt — den Zeitpunkt ihrer letzten Veröffentlichung; von diesen beiden Angaben speichern wir nur den jeweils zuletzt festgestellten Stand. Daten von Besucherinnen und Besuchern Ihrer Website werden dabei weder erhoben noch gespeichert.

Rechtsgrundlage für Konto und Inhalte ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Betreuungsvertrags). Rechtsgrundlage für die Sicherheitsdaten ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, unbefugte Zugriffe auf Ihre Daten zu erkennen und abzuwehren). Für die Rechnungsübersicht gilt ebenfalls Art. 6 Abs. 1 lit. b DSGVO, für die Prüfung der Erreichbarkeit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Ausfälle der von uns betreuten Website zu erkennen und Ihnen anzuzeigen).

IP-Adressen speichern wir nicht im Klartext. Für Ratenbegrenzung und Sicherheitsprotokoll wird ausschließlich ein mit einem geheimen Schlüssel gesalzener Hash der IP-Adresse gespeichert (für die Ratenbegrenzung bei IPv6-Adressen nur ein Hash ihres Netzanteils, der ersten Hälfte der Adresse), aus dem sich die Adresse nicht zurückrechnen lässt.

Anmeldeversuche. Damit Passwörter und Codes nicht durch Ausprobieren erraten werden können, halten wir fest: jede fehlgeschlagene Eingabe eines Passworts oder eines Codes der Zwei-Faktor-Anmeldung, jede abgeschlossene Anmeldung, jede richtige erneute Eingabe von Passwort oder Code im Kundenbereich (vor einer Passwortänderung und beim Ein- oder Ausschalten der Zwei-Faktor-Anmeldung) sowie jedes abgeschlossene Zurücksetzen des Passworts. Gespeichert werden dazu die eingegebene E-Mail-Adresse — im Klartext und auch dann, wenn es zu ihr kein Konto gibt —, der oben beschriebene Hash der IP-Adresse, ob der Versuch erfolgreich war, was geprüft wurde (Passwort, Code oder Zurücksetzen des Passworts) und der Zeitpunkt. Wir verwenden diese Einträge nur für zwei Dinge: Nach wiederholten Fehlversuchen verlangen wir eine zunehmende Wartezeit bis zum nächsten Versuch. Und wir erkennen daran, von welcher IP-Adresse aus (bei IPv6: aus welchem Netz) Sie sich in den letzten 30 Tagen erfolgreich angemeldet, Ihr Passwort oder Ihren Code bestätigt oder Ihr Passwort zurückgesetzt haben — dort führen falsche Passwörter, die andere von anderswo aus eingeben, für Sie zu keiner Wartezeit. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. f DSGVO. Die Einträge werden nach 30 Tagen gelöscht (Abschnitt 5.5).

Nach erfolgreicher Anmeldung setzen wir ein Sitzungs-Cookie __Host-hmmr_sess. Es enthält ausschließlich eine zufällige Zeichenfolge — keine personenbezogenen Daten — und dient allein dazu, Ihre angemeldete Sitzung wiederzuerkennen. Die Sitzung endet spätestens 8 Stunden nach der letzten Aktivität, in jedem Fall aber 30 Tage nach der Anmeldung, und sofort beim Abmelden.

Wenn Sie die Zwei-Faktor-Anmeldung aktiviert haben, wird zwischen Passworteingabe und Code-Eingabe für längstens 5 Minuten zusätzlich ein Cookie __Host-hmmr_mfa gesetzt. Es berechtigt zu nichts außer der Eingabe des Codes und wird danach sofort gelöscht.

Beide Cookies sind für den von Ihnen angeforderten Dienst unbedingt erforderlich (§ 165 Abs. 3 TKG 2021) — ohne sie ist eine Anmeldung technisch nicht möglich. Sie bedürfen daher keiner Einwilligung, und es gibt aus diesem Grund auch keinen Cookie-Banner. Im Kundenbereich findet auch keine Reichweitenmessung statt; wir setzen dort keinerlei Analyse-, Tracking- oder Werbe-Cookies.

Sie können Ihren Zugang zusätzlich mit einer Authenticator-App absichern. Wir speichern dafür einen geheimen Schlüssel, der mit AES-256-GCM verschlüsselt in der Datenbank abgelegt wird; der zur Entschlüsselung nötige Hauptschlüssel liegt getrennt davon. Die Funktion ist freiwillig und jederzeit wieder abschaltbar.

• Datenbank — Neon (Neon Inc., USA), über den Vercel-Marketplace bezogen und direkt mit uns vertraglich verbunden; Serverstandort Frankfurt am Main, Deutschland. Hier liegen Konto-, Wunsch- und Betriebsangaben, die Rechnungsübersicht und die Ergebnisse der Erreichbarkeitsprüfung.
• Dateispeicher — Vercel Blob, Serverstandort Frankfurt am Main, Deutschland. Hier liegen Ihre hochgeladenen Dateien und die PDF-Kopien Ihrer Rechnungen, in einem privaten, nicht öffentlich lesbaren Speicher.
• Versand von Einladungs- und Passwort-E-Mails — Zoho ZeptoMail (Zoho Corporation), EU-Rechenzentrum. Übertragen wird Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht.

Mit Vercel und mit Neon bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die Verarbeitung Ihrer Kundenbereichs-Daten findet innerhalb der EU statt.

Der automatische Versand von Einladungs- und Passwort-E-Mails ist derzeit abgeschaltet. Solange der dafür nötige Auftragsverarbeitungsvertrag mit Zoho für ZeptoMail nicht vorliegt, ist dieser Versand technisch nicht in Betrieb — es geht darüber keine Nachricht hinaus. Zugangs- und Passwortlinks übergeben wir Ihnen in dieser Zeit persönlich. Der Dienst ist oben bereits genannt, damit diese Erklärung nicht nachgezogen werden muss, sobald er in Betrieb geht; ab dann wird über ihn Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht übertragen.

Ihre Dateien sind nicht öffentlich abrufbar. Der Zugriff erfolgt ausschließlich über kurzlebige, signierte Links, die erst nach Prüfung Ihrer Anmeldung erzeugt werden; der Speicherpfad ist pro Kundin bzw. Kunde getrennt und wird serverseitig vergeben.

Ihr Zugang und Ihre hochgeladenen Dateien werden 90 Tage nach Ende des Betreuungsvertrags gelöscht. Diese Frist gibt Ihnen Gelegenheit, die Betreuung fortzusetzen oder Ihre Daten anzufordern, hält die Speicherung aber so kurz wie möglich. Auf Ihren Wunsch löschen wir jederzeit auch früher. Gelöscht wird dabei alles, was wir von Ihnen haben — auch die Arbeitskopien Ihrer Wünsche und Fotos, die bei der Bearbeitung auf unserem eigenen Rechner entstehen.

Unabhängig davon löschen wir automatisch:

• Abgelaufene Sitzungen — 7 Tage nach Ablauf oder Abmeldung.
• Einladungslinks — 14 Tage gültig, 30 Tage nach Ablauf gelöscht.
• Passwort-Zurücksetzen-Links — 1 Stunde gültig, 7 Tage nach Ablauf gelöscht.
• Anmeldeversuche (für Ratenbegrenzung) — 30 Tage.
• Sicherheitsereignisse ohne Konto — Wird eine Anmeldung mit einer Adresse versucht, zu der es hier kein Konto gibt, halten wir den Vorgang fest — ohne die Adresse selbst, nur als nicht rückrechenbaren Hash. Diese Einträge löschen wir nach 12 Monaten.
• Ergebnisse der Erreichbarkeitsprüfung — 70 Tage.

Das Protokoll sicherheitsrelevanter Ereignisse bewahren wir für die Dauer des Vertragsverhältnisses auf, da es der Nachvollziehbarkeit unbefugter Zugriffe dient; mit dem Konto werden auch diese Einträge gelöscht. E-Mail-Adressen speichern wir darin ohnehin nicht im Klartext, sondern nur als mit einem geheimen Schlüssel gesalzenen Hash. Die Rechnungsübersicht samt den PDF-Kopien Ihrer Rechnungen und die Ergebnisse der Erreichbarkeitsprüfung werden ebenfalls mit dem Konto gelöscht. Gesetzliche Aufbewahrungspflichten (etwa für Rechnungen nach § 132 BAO) bleiben davon unberührt; solche Unterlagen liegen außerhalb des Kundenbereichs.