Datenschutzerklärung

Diese Website wird bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA gehostet. Beim Aufruf der Website verarbeitet Vercel technisch notwendige Server-Logdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, User-Agent), um die Website auszuliefern und die Sicherheit des Betriebs zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, performanten Betrieb). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist durch die Zertifizierung von Vercel unter dem EU-US Data Privacy Framework sowie Standardvertragsklauseln abgesichert. Logdaten werden von Vercel nur kurzfristig vorgehalten.

Auf der öffentlichen Website messen wir seit August 2026 die Reichweite mit Vercel Web Analytics — einem Dienst desselben Anbieters, bei dem die Website ohnehin gehostet wird. Wir wollen wissen, welche Seiten gelesen werden und über welche Wege Besucherinnen und Besucher zu uns finden. Mehr nicht: Es entstehen keine Nutzerprofile, keine Wiedererkennung über Websites hinweg und keine Weitergabe an Werbenetzwerke.

Die Messung ist cookiefrei. Es wird kein Cookie gesetzt, und es werden keine Informationen in Ihrem Endgerät gespeichert oder daraus ausgelesen — weder im localStorage noch anderswo. Damit greift § 165 Abs. 3 TKG 2021 hier nicht, und es ist auch weiterhin kein Cookie-Banner nötig.

Pro Seitenaufruf werden ausschließlich verarbeitet: Zeitpunkt des Aufrufs, die aufgerufene Adresse auf dieser Website, die verweisende Seite (Referrer), gefilterte Abfrageparameter, ein grober Standort auf Ebene Land/Region/Stadt, Gerätetyp, Betriebssystem und Browser jeweils mit Version sowie die Version des Mess-Skripts. Adressen, die einen persönlichen Freigabe-Code enthalten (/schmiede/s/…), werden bereits in Ihrem Browser gekürzt, bevor etwas gesendet wird.

Ihre IP-Adresse wird dabei nicht gespeichert. Vercel bildet aus den Daten der Anfrage einen Hash, der ausschließlich dazu dient, wiederholte Aufrufe innerhalb von 24 Stunden als denselben Besuch zu zählen; danach wird er verworfen. Er lässt sich nicht zurückrechnen, und es entsteht daraus keine dauerhafte Kennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Reichweite und technische Qualität unseres Angebots in aggregierter Form nachvollziehen zu können. Ihre Interessen überwiegen nicht, weil die Auswertung anonym und aggregiert erfolgt, keine Profile entstehen und nichts zu Werbezwecken an Dritte fließt.

Vercel ist dabei unser Auftragsverarbeiter nach Art. 28 DSGVO. Es gilt derselbe Auftragsverarbeitungsvertrag und dieselbe Absicherung wie beim Hosting: Zertifizierung unter dem EU-US Data Privacy Framework, ergänzt um Standardvertragsklauseln (siehe Abschnitt 2.1).

Die Messung läuft ausschließlich auf der öffentlichen Website; im Kundenbereich unter /portal findet sie nicht statt. Da wir die Messdaten weder einer Person noch einem Gerät zuordnen können, ist eine nachträgliche Zuordnung oder Löschung einzelner Aufrufe technisch nicht möglich (Art. 11 DSGVO). Wenn Sie die Messung von vornherein unterbinden möchten: Gängige Content-Blocker erkennen und blockieren sie, und ohne aktiviertes JavaScript findet sie gar nicht erst statt.

Seit August 2026 messen wir auf der öffentlichen Website zusätzlich, wie schnell die Seiten bei echten Besucherinnen und Besuchern aufbauen — mit Vercel Speed Insights, einem Dienst desselben Anbieters, bei dem die Website ohnehin gehostet wird. Hintergrund: Bisher kannten wir nur Laborwerte vom eigenen Rechner. Wie schnell eine Seite auf einem echten Gerät in einem echten Mobilfunknetz erscheint, sagt ein Laborwert nicht.

Auch diese Messung ist cookiefrei. Es wird kein Cookie gesetzt, und es werden keine Informationen in Ihrem Endgerät gespeichert oder daraus ausgelesen — weder im localStorage noch im sessionStorage noch anderswo. Auch hier greift § 165 Abs. 3 TKG 2021 daher nicht.

Verarbeitet werden ausschließlich technische Messwerte des Seitenaufbaus (etwa: wann das größte Element sichtbar wurde, wie stabil das Layout dabei blieb, wie schnell die Seite auf die erste Eingabe reagierte), dazu die aufgerufene Adresse auf dieser Website, die grobe Verbindungsart Ihres Geräts (z. B. „4g“) sowie die Version des Mess-Skripts. Adressen mit persönlichem Freigabe-Code (/schmiede/s/…) werden auch hier bereits in Ihrem Browser gekürzt, bevor etwas gesendet wird. Es werden keine Cookies, keine Kennungen und keine IP-Adressen gespeichert, und es entstehen keine Nutzerprofile.

Mess-Skript und Übertragung laufen ausschließlich über unsere eigene Adresse (www.hmmr.digital); es wird dabei keine Verbindung zu einer fremden Domain aufgebaut.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die technische Qualität unseres Angebots nicht nur im Labor, sondern unter realen Bedingungen beurteilen und Fehler erkennen zu können. Ihre Interessen überwiegen nicht, weil ausschließlich anonyme technische Messwerte anfallen. Vercel ist auch hier unser Auftragsverarbeiter nach Art. 28 DSGVO; es gilt dieselbe Absicherung wie in Abschnitt 2.1. Wie bei der Reichweitenmessung läuft sie nicht im Kundenbereich unter /portal, und Content-Blocker sowie deaktiviertes JavaScript verhindern sie vollständig.

• Zugangsdaten — E-Mail-Adresse, optional Ihr Name, und Ihr Passwort ausschließlich als gesalzener Hash (das Passwort selbst ist uns technisch nicht bekannt).
• Hochgeladene Dateien — die Inhalte, die Sie hochladen (z. B. Logos, Fotos), samt Dateiname, Dateityp und Größe. Ein Dateiname kann einen Personennamen enthalten.
• Änderungswünsche — Titel und Beschreibung in Ihren eigenen Worten, sowie die zugeordneten Dateien.
• Betriebsangaben — Öffnungszeiten, Telefonnummer, E-Mail-Adresse, Anschrift, Preise und Hinweise zur Marke. Bei Einzelunternehmen sind Telefon, E-Mail und Anschrift personenbezogene Daten.
• Nutzungs- und Sicherheitsdaten — Zeitpunkt der letzten Anmeldung, Browserkennung (User-Agent) der Sitzung sowie ein Protokoll sicherheitsrelevanter Ereignisse (Anmeldung, fehlgeschlagene Anmeldung, Passwortänderung, Datei-Upload).

Rechtsgrundlage für Konto und Inhalte ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Betreuungsvertrags). Rechtsgrundlage für die Sicherheitsdaten ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, unbefugte Zugriffe auf Ihre Daten zu erkennen und abzuwehren).

IP-Adressen speichern wir nicht im Klartext. Für Ratenbegrenzung und Sicherheitsprotokoll wird ausschließlich ein mit einem geheimen Schlüssel gesalzener Hash der IP-Adresse gespeichert, aus dem sich die Adresse nicht zurückrechnen lässt.

Nach erfolgreicher Anmeldung setzen wir ein Sitzungs-Cookie __Host-hmmr_sess. Es enthält ausschließlich eine zufällige Zeichenfolge — keine personenbezogenen Daten — und dient allein dazu, Ihre angemeldete Sitzung wiederzuerkennen. Die Sitzung endet spätestens 8 Stunden nach der letzten Aktivität, in jedem Fall aber 30 Tage nach der Anmeldung, und sofort beim Abmelden.

Wenn Sie die Zwei-Faktor-Anmeldung aktiviert haben, wird zwischen Passworteingabe und Code-Eingabe für längstens 5 Minuten zusätzlich ein Cookie __Host-hmmr_mfa gesetzt. Es berechtigt zu nichts außer der Eingabe des Codes und wird danach sofort gelöscht.

Beide Cookies sind für den von Ihnen angeforderten Dienst unbedingt erforderlich (§ 165 Abs. 3 TKG 2021) — ohne sie ist eine Anmeldung technisch nicht möglich. Sie bedürfen daher keiner Einwilligung, und es gibt aus diesem Grund auch keinen Cookie-Banner. Im Kundenbereich findet auch keine Reichweitenmessung statt; wir setzen dort keinerlei Analyse-, Tracking- oder Werbe-Cookies.

Sie können Ihren Zugang zusätzlich mit einer Authenticator-App absichern. Wir speichern dafür einen geheimen Schlüssel, der mit AES-256-GCM verschlüsselt in der Datenbank abgelegt wird; der zur Entschlüsselung nötige Hauptschlüssel liegt getrennt davon. Die Funktion ist freiwillig und jederzeit wieder abschaltbar.

• Datenbank — Neon (Neon Inc., USA) als von Vercel bereitgestellter Dienst, Serverstandort Frankfurt am Main, Deutschland. Hier liegen Konto-, Wunsch- und Betriebsangaben.
• Dateispeicher — Vercel Blob, Serverstandort Frankfurt am Main, Deutschland. Hier liegen Ihre hochgeladenen Dateien, in einem privaten, nicht öffentlich lesbaren Speicher.
• Versand von Einladungs- und Passwort-E-Mails — unser E-Mail-Postfach bei Zoho (EU-Rechenzentren).

Mit allen genannten Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die Verarbeitung Ihrer Kundenbereichs-Daten findet innerhalb der EU statt.

Ihre Dateien sind nicht öffentlich abrufbar. Der Zugriff erfolgt ausschließlich über kurzlebige, signierte Links, die erst nach Prüfung Ihrer Anmeldung erzeugt werden; der Speicherpfad ist pro Kundin bzw. Kunde getrennt und wird serverseitig vergeben.

Ihr Zugang und Ihre hochgeladenen Dateien werden 90 Tage nach Ende des Betreuungsvertrags gelöscht. Diese Frist gibt Ihnen Gelegenheit, die Betreuung fortzusetzen oder Ihre Daten anzufordern, hält die Speicherung aber so kurz wie möglich. Auf Ihren Wunsch löschen wir jederzeit auch früher.

Unabhängig davon löschen wir automatisch:

• Abgelaufene Sitzungen — 7 Tage nach Ablauf oder Abmeldung.
• Einladungslinks — 14 Tage gültig, 30 Tage nach Ablauf gelöscht.
• Passwort-Zurücksetzen-Links — 1 Stunde gültig, 7 Tage nach Ablauf gelöscht.
• Anmeldeversuche (für Ratenbegrenzung) — 30 Tage.

Das Protokoll sicherheitsrelevanter Ereignisse bewahren wir für die Dauer des Vertragsverhältnisses auf, da es der Nachvollziehbarkeit unbefugter Zugriffe dient; es wird mit dem Konto gelöscht. Gesetzliche Aufbewahrungspflichten (etwa für Rechnungen nach § 132 BAO) bleiben davon unberührt; solche Unterlagen liegen außerhalb des Kundenbereichs.