Access and error logs help us keep the website secure, detect attacks, diagnose faults, and investigate incidents.

Access and error logs for the website and both portfolio demos are rotated daily. Seven archived files are retained for each log in addition to the current file. With successful daily rotation, this ordinarily corresponds to approximately seven to eight days. General Nginx logs also rotate daily, with fourteen archived files retained in addition to the current file. Older archives are removed through rotation; a file-count rotation rule is not an exact timed deletion deadline. Copies in backups follow the retention rules in section 04. Information needed for a specific security incident may be retained until the investigation and necessary legal steps are complete.

The reviewed Fail2ban, rsyslog/system, authentication and UFW firewall log rules are configured for weekly rotation with four archived files in addition to the current file. Empty files may skip rotation, so older archives can remain longer during inactivity; file counts are not guaranteed calendar deletion deadlines. Processing supports operational security, detection of abusive access and investigation of technical faults. The legal basis is Article 6(1)(f) GDPR. Provider mail-server logs for the separately managed mailbox are distinct from a VPS mail.log file.

Logs are not used for advertising, audience measurement, or profiling and are not normally combined with other sources. The legal basis is Article 6(1)(f) GDPR.

Backups support recovery after technical faults, data loss or security incidents. They may contain personal data from the systems being backed up. The legal basis is Article 6(1)(f) GDPR; our legitimate interest is operational recoverability and security.

The VPS has a daily local database-backup job configured with seven-day retention. A separate CloudPanel application backup retains the three newest copies. Automatic Hetzner Cloud server backups are disabled and CloudPanel remote backups are not configured.

One older, manually created VPS snapshot exists. A fresh recovery copy is planned and has not yet been confirmed prepared and checked. The adopted plan is to delete the older test snapshot thirty days after that preparation and check, and normally to retain future manual snapshots for at most thirty days. The replacement and deletion are planned steps, not completed changes.

The separate Hetzner webhosting service used for email has provider-managed backups retained for fourteen days. These are separate from the VPS backups.

An email link opens a draft in your configured email application. The website does not send a message through this action. Your email application or its provider may nevertheless save or synchronise the draft before sending. We receive the message when you send it yourself.

We use Hetzner Webhosting S, provided by Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Germany, to receive, send and store business emails. The Article 28 GDPR agreement for our customer account covers this managed email service. Cloudflare Email Routing into Gmail is disabled and Resend is not active. For this managed service, Hetzner states a seven-day mail-server log retention and fourteen-day provider backup retention. These periods do not describe VPS logging or our own correspondence retention.

We may process your name, email address, subject, message, attachments, technical email metadata, and any information you choose to provide.

We process the contact details and message contents provided to answer enquiries, prepare projects and deliver agreed services. Article 6(1)(b) GDPR applies where processing is necessary for a contract with you or pre-contract steps requested by you. Other enquiries and communication with company representatives rely on Article 6(1)(f) GDPR; our legitimate interest is handling business correspondence. Legal retention obligations rely on Article 6(1)(c) GDPR.

Closed enquiries that did not result in an engagement are reviewed monthly. Correspondence closed more than thirty days earlier and no longer needed is deleted during that review. This is a manual monthly review, not automatic deletion exactly on day thirty. Contracts, billing documents and other records subject to retention duties are stored separately for the applicable statutory periods; information may also be kept longer where necessary for specific legal claims.

Providing information is voluntary, but we need a way to contact you to reply.

AI assistance for planning and code

AI tools may assist technical planning and code creation. Identifiable client enquiries remain in private business records and are not submitted to external AI services. External AI assistance receives only generalised functional requirements and dummy data without a connection to identifiable individuals; the same restriction applies to project files made available to those tools. Removing names and email addresses alone does not necessarily anonymise a case. We review the outputs and make proposal, scope and project decisions ourselves.

For telephone enquiries, we process the information provided and, where displayed, your telephone number and technical connection information. This supports answering enquiries, returning calls and preparing or carrying out a project. The legal basis is Article 6(1)(b) GDPR where a contract with you or pre-contract steps requested by you are involved, otherwise Article 6(1)(f) GDPR based on our legitimate interest in business communication.

Our telephone service is provided by easybell GmbH, Brückenstraße 5a, 10179 Berlin, Germany. Easybell and participating network operators process connection data to provide and bill for their telecommunications services under their legal obligations and privacy notices. We do not record calls. Call-history entries may nevertheless exist independently of recordings. Our own call notes and callback information are deleted when no longer needed for the enquiry or project, subject to legal retention duties and specific legal claims. Provider telecommunications records are separate from our own notes and call history.

Easybell privacy information

The public-facing theme does not itself set cookies for analytics, advertising, audience measurement, or profiling. WordPress may set authentication cookies for administrators when they sign in.

When you activate the language toggle, your selected language (de or en) is stored in your browser’s sessionStorage under the key elgo-language and read when a page loads. If you have not selected a language, the website checks your browser’s language preferences locally and selects German or English, with English as the fallback. This does not determine your country or location and does not contact a separate language-detection service. The automatically selected language is not saved; sessionStorage is written only when you explicitly select a language. Storage preserves your expressly selected language during the page session. It is specific to the website origin and browser-tab session and survives reloads. Browser session-restoration features may continue the session. If sessionStorage is unavailable, language switching works only in the current page’s memory. Section 25(2)(2) TDDDG applies to this exclusively functional storage and access.

The main Elgo Design website does not use separate advertising, retargeting or tracking tools to build visitor profiles. Fonts, project images and interface scripts are served locally. Infrastructure services used for delivery, security and fault diagnosis are described separately in this notice.

The project briefing assembles its summary in your browser. This feature neither submits the briefing entries to WordPress as an enquiry nor sends an email automatically. It does not deliberately persist them in cookies, localStorage or sessionStorage. The language preference is stored separately as described in section 07.

Copying the summary transfers it to your device’s clipboard. Clipboard-history or device-sync features may store it. “Open in email” passes the summary to your email application, which may save or synchronise the draft before sending. We receive it as a message when you send it yourself. The briefing is unavailable with JavaScript disabled; you can contact us directly by email instead.

Links to our portfolio demos are covered by this notice. When you open a link to another operator’s website, that destination processes the connection data needed for the visit and its own privacy notice applies.

Fieldform and Shine Right are fictional portfolio demos operated by Elgo Design. Their request and booking interfaces demonstrate a process; they do not offer a real order or appointment service. Use sample information. Ordinary page and asset delivery still involves the hosting and Cloudflare connection data described in sections 02 and 03.

Shine Right initially displays a locally hosted schematic map. External CARTO map tiles are loaded only after you explicitly choose “Enable external map”. Your browser then sends requests to CARTO’s tile-delivery infrastructure, which receives connection data, including your IP address, and the requested map areas and zoom levels. Area matching remains local; search text is not transmitted to a map provider. No Nominatim searches or device-location access are used, and the website does not save your map-activation preference.

Disabling the external map or closing it removes the external tile layer. This does not undo requests already sent, delete data already received by delivery providers, or clear the browser’s normal cache. Ordinary hosting and Cloudflare processing described elsewhere in this policy also remains applicable.

CARTO privacy notice

This notice applies to these owner-operated demos, not to future client websites.

For the processing described, we use Hetzner for website infrastructure and email, Cloudflare for website delivery, security, DNS/domain services and DMARC authentication reporting, and Easybell for telephone services. Telecommunications providers also process connection data under their own statutory responsibilities. Article 28 GDPR agreements apply where providers process data on our behalf. Other disclosures to public authorities or legal and tax advisers occur only where legally required or necessary for the relevant matter. Personal data is not sold or disclosed for advertising.

The origin hosting is located in Nuremberg, Germany. This does not keep all processing within the EU or EEA: Cloudflare uses international infrastructure and processing can involve the United States. For covered transfers to Cloudflare in the United States, Cloudflare relies on its participation in the EU-US Data Privacy Framework, an adequacy arrangement under Article 45 GDPR. Where a transfer is not covered by an applicable adequacy arrangement, its data-processing agreement provides Standard Contractual Clauses under Article 46 GDPR, including the clauses adopted in Commission Decision (EU) 2021/914. The Cloudflare data-processing agreement describes the applicable arrangements and how to obtain information about the safeguards. You may also request information using the controller contact details in section 01.

These Cloudflare transfer arrangements also concern delivery and security of Fieldform and Shine Right. The locally processed Shine Right map and searches described in section 09 do not themselves send searches, selections or device-location data to a separate map provider outside the EU or EEA.

Personal data is kept only for as long as the relevant purpose requires. It is then deleted or anonymised unless legal retention obligations, contractual duties, an ongoing dispute, or legal claims require longer storage. Sections 02 and 03 explain Cloudflare retention criteria and server-log rotation; section 04 covers backups, section 05 correspondence and section 06 telephone contact. Section 07 explains the main website’s separate language preference. Local Shine Right map searches, selections and booking entries are not deliberately retained by the demo after the page-memory state ends; ordinary delivery logs and backup copies follow their separate rules.

Subject to the legal requirements, you may request access (Article 15 GDPR), rectification (Article 16), erasure (Article 17), restriction of processing (Article 18), data portability (Article 20), or object to processing (Article 21). Where processing relies on consent, you may withdraw it for the future under Article 7(3). Withdrawal does not affect processing that was lawful before it.

Under Article 19 GDPR, you may ask us to identify the recipients notified of rectification, erasure or restriction of processing.

To exercise your rights, contact the controller using the details in section 01.

If we process your data under Article 6(1)(f) GDPR, you may object at any time for reasons relating to your particular situation. Following a valid objection, we stop that processing unless we can demonstrate compelling legitimate grounds that override your interests, rights, and freedoms, or the processing is needed to establish, exercise, or defend legal claims.

If you believe your personal data has been processed unlawfully, you may lodge a complaint with a data protection supervisory authority under Article 77 GDPR, particularly in the Member State of your habitual residence, workplace or the place of the alleged infringement.

We use appropriate technical and organisational measures to protect personal data against loss, alteration, unauthorised access, and misuse. Depending on the actual configuration, these may include HTTPS, updates, restricted administrative access, secure authentication, firewalls, limited log retention, and backup and recovery procedures. Measures are reviewed as technology and risks change.

No solely automated decision-making, including profiling within the meaning of Article 22 GDPR, takes place.

We update this policy when services, processing, or legal requirements change. The current version is available on this website.

Revision: 16 October 2026.

Zugriffs- und Fehlerprotokolle helfen, die Website sicher zu betreiben, Angriffe zu erkennen, Fehler zu untersuchen und Vorfälle aufzuklären.

Die Zugriffs- und Fehlerprotokolle der Website und der beiden Portfolio-Demos werden täglich rotiert. Dabei werden je Protokoll sieben archivierte Dateien zusätzlich zur aktuellen Datei aufbewahrt. Bei ordnungsgemäßer täglicher Rotation entspricht dies üblicherweise etwa sieben bis acht Tagen. Allgemeine Nginx-Protokolle werden ebenfalls täglich rotiert; hierfür sind vierzehn archivierte Dateien zusätzlich zur aktuellen Datei vorgesehen. Die Löschung älterer Archive erfolgt im Rahmen der Rotation; eine Rotation nach Anzahl der Dateien ist keine minutengenaue Löschfrist. Kopien in Sicherungen unterliegen den in Abschnitt 04 beschriebenen Aufbewahrungsregeln. Daten, die für einen konkreten Sicherheitsvorfall erforderlich sind, können bis zum Abschluss der Untersuchung und erforderlicher rechtlicher Schritte länger gespeichert werden.

Für die überprüften Fail2ban-, rsyslog/System-, Authentifizierungs- und UFW-Firewall-Protokolle ist eine wöchentliche Rotation mit jeweils vier archivierten Dateien zusätzlich zur aktuellen Datei eingerichtet. Leere Dateien können von der Rotation ausgenommen sein; bei Inaktivität können ältere Archive daher länger bestehen bleiben. Die Anzahl der Dateien ist keine garantierte kalendergenaue Löschfrist. Die Verarbeitung dient der Betriebssicherheit, der Erkennung missbräuchlicher Zugriffe und der Untersuchung technischer Störungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Providerseitige Mailserver-Logs für das gesondert verwaltete Postfach sind von einer mail.log-Datei auf dem VPS zu unterscheiden.

Die Logs werden nicht für Werbung, Reichweitenmessung oder Nutzerprofile verwendet und grundsätzlich nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Sicherungen dienen der Wiederherstellung nach technischen Fehlern, Datenverlust oder Sicherheitsvorfällen. Sie können personenbezogene Daten aus den jeweils gesicherten Systemen enthalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Wiederherstellbarkeit und Sicherheit des Betriebs.

Auf dem VPS ist eine tägliche lokale Datenbanksicherung mit einer konfigurierten Aufbewahrungsfrist von sieben Tagen eingerichtet. Eine gesonderte CloudPanel-Anwendungssicherung hält die drei neuesten Kopien vor. Automatische Hetzner-Cloud-Serversicherungen sind deaktiviert; CloudPanel-Remote-Backups sind nicht eingerichtet.

Ein älterer, manuell erstellter VPS-Snapshot ist vorhanden. Eine neue Wiederherstellungskopie ist geplant; ihre Erstellung und Überprüfung sind noch nicht bestätigt. Nach dem beschlossenen Plan wird die ältere Testsicherung dreißig Tage nach dieser Erstellung und Überprüfung gelöscht. Künftige manuelle Snapshots sollen normalerweise höchstens dreißig Tage aufbewahrt werden. Austausch und Löschung sind geplante Schritte und noch nicht abgeschlossen.

Die gesonderte Hetzner-Webhosting-Leistung für E-Mail verfügt über providerseitige Sicherungen mit einer Aufbewahrung von vierzehn Tagen. Diese sind von den VPS-Sicherungen getrennt.

Ein E-Mail-Link öffnet einen Entwurf in deiner eingerichteten E-Mail-Anwendung. Die Website versendet dadurch keine Nachricht. Deine E-Mail-Anwendung oder ihr Anbieter kann den Entwurf jedoch bereits vor dem Versand speichern oder synchronisieren. Wir erhalten die Nachricht, wenn du sie selbst absendest.

Für den Empfang, Versand und die Speicherung geschäftlicher E-Mails verwenden wir Hetzner Webhosting S der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Die Vereinbarung nach Art. 28 DSGVO für unser Kundenkonto umfasst diesen verwalteten E-Mail-Dienst. Cloudflare Email Routing an Gmail ist deaktiviert und Resend ist nicht aktiv. Für diesen verwalteten Dienst nennt Hetzner eine Aufbewahrung von sieben Tagen für Mailserver-Logs und vierzehn Tagen für providerseitige Sicherungen. Diese Fristen beschreiben weder die VPS-Protokollierung noch unsere eigene Korrespondenzaufbewahrung.

Wir können Name, E-Mail-Adresse, Betreff, Nachricht, Anhänge, technische E-Mail-Metadaten und freiwillig mitgeteilte Angaben verarbeiten.

Wir verarbeiten die mitgeteilten Kontakt- und Nachrichteninhalte, um Anfragen zu beantworten, Projekte vorzubereiten und vereinbarte Leistungen zu erbringen. Art. 6 Abs. 1 lit. b DSGVO gilt, soweit die Verarbeitung für einen Vertrag mit dir oder für vorvertragliche Schritte auf deine Anfrage erforderlich ist. Für sonstige Anfragen und die Kommunikation mit Ansprechpartnern von Unternehmen stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bearbeitung geschäftlicher Kommunikation. Gesetzliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Abgeschlossene Anfragen, aus denen kein Auftrag entstanden ist, werden monatlich überprüft. Korrespondenz, deren Abschluss mehr als dreißig Tage zurückliegt und die nicht mehr benötigt wird, wird bei dieser Überprüfung gelöscht. Es handelt sich um eine manuelle monatliche Prüfung, nicht um eine automatische Löschung genau am dreißigsten Tag. Vertrags-, Abrechnungs- und andere aufbewahrungspflichtige Unterlagen werden getrennt entsprechend der jeweils geltenden gesetzlichen Fristen gespeichert; eine längere Speicherung erfolgt außerdem, soweit sie für konkrete Rechtsansprüche erforderlich ist.

Angaben sind freiwillig; für eine Antwort benötigen wir jedoch eine Kontaktmöglichkeit.

KI-Unterstützung bei Planung und Code

Für technische Planung und Code-Erstellung können KI-Werkzeuge eingesetzt werden. Identifizierbare Kundenanfragen bleiben in privaten Geschäftsunterlagen und werden nicht an externe KI-Dienste übermittelt. Externe KI-Unterstützung erhält ausschließlich verallgemeinerte funktionale Anforderungen und Beispieldaten ohne Bezug zu identifizierbaren Personen; dieselbe Einschränkung gilt für bereitgestellte Projektdateien. Das Entfernen von Namen und E-Mail-Adressen allein anonymisiert einen Fall nicht zwingend. Ergebnisse werden von uns geprüft; Entscheidungen über Angebot, Leistungsumfang und Projektumsetzung treffen wir selbst.

Bei telefonischen Anfragen verarbeiten wir die mitgeteilten Angaben und, soweit angezeigt, deine Rufnummer sowie technische Verbindungsinformationen. Dies dient der Beantwortung der Anfrage, Rückrufen und der Vorbereitung oder Durchführung eines Projekts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um einen Vertrag mit dir oder auf deine Anfrage gewünschte vorvertragliche Schritte geht, ansonsten Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an geschäftlicher Kommunikation.

Unser Telefonanschluss wird von der easybell GmbH, Brückenstraße 5a, 10179 Berlin, Deutschland, bereitgestellt. Easybell und beteiligte Netzbetreiber verarbeiten Verbindungsdaten für die Bereitstellung und Abrechnung ihrer Telekommunikationsdienste nach ihren gesetzlichen Pflichten und Datenschutzhinweisen. Wir zeichnen Gespräche nicht auf. Unabhängig von Aufzeichnungen können dennoch Einträge in Anruflisten entstehen. Eigene Gesprächsnotizen und Rückrufinformationen werden gelöscht, sobald sie für die Anfrage oder das Projekt nicht mehr erforderlich sind; gesetzliche Aufbewahrungspflichten und konkrete Rechtsansprüche bleiben unberührt. Telekommunikationsdaten des Anbieters sind von unseren eigenen Notizen und Anruflisten zu unterscheiden.

Easybell-Datenschutzhinweise

Das öffentlich sichtbare Theme setzt selbst keine Cookies für Analyse, Werbung, Reichweitenmessung oder Profilbildung. Für angemeldete WordPress-Administratoren können Authentifizierungs-Cookies gesetzt werden.

Wenn du die Sprachumschaltung betätigst, wird die gewählte Sprache (de oder en) im sessionStorage deines Browsers unter dem Schlüssel elgo-language gespeichert und beim Laden einer Seite ausgelesen. Wenn du noch keine Sprache ausgewählt hast, wertet die Website deine bevorzugten Browsersprachen lokal aus und wählt Deutsch oder Englisch. Englisch dient als Rückfallsprache. Dabei werden weder dein Land noch dein Standort ermittelt und kein gesonderter Dienst zur Spracherkennung kontaktiert. Die automatisch gewählte Sprache wird nicht gespeichert; sessionStorage wird nur nach deiner ausdrücklichen Sprachauswahl beschrieben. Die Speicherung dient dazu, deine ausdrückliche Sprachwahl während der Seitensitzung beizubehalten. Sie ist an den Website-Ursprung und die Browser-Tab-Sitzung gebunden und bleibt bei einem Neuladen erhalten. Browserfunktionen zur Wiederherstellung einer Sitzung können die Sitzung fortsetzen. Ist sessionStorage nicht verfügbar, funktioniert der Sprachwechsel nur im Arbeitsspeicher der aktuellen Seite. Für diese ausschließlich funktionale Speicherung und den Zugriff gilt § 25 Abs. 2 Nr. 2 TDDDG.

Auf der Elgo-Design-Hauptwebsite verwenden wir keine gesonderten Werbe-, Retargeting- oder Tracking-Werkzeuge zur Erstellung von Besucherprofilen. Schriftarten, Projektbilder und Interface-Skripte werden lokal bereitgestellt. Die für Bereitstellung, Sicherheit und Fehlerdiagnose verwendeten Infrastruktur-Dienste sind in diesen Datenschutzhinweisen gesondert beschrieben.

Das Projektbriefing erstellt die Zusammenfassung im Browser. Die eingegebenen Briefingdaten werden durch diese Funktion weder als Anfrage an WordPress übermittelt noch automatisch per E-Mail versendet. Die Funktion speichert sie nicht gezielt in Cookies, localStorage oder sessionStorage. Die Sprachwahl wird davon getrennt wie in Abschnitt 07 beschrieben gespeichert.

Wenn du die Zusammenfassung kopierst, wird sie in die Zwischenablage deines Geräts übertragen. Zwischenablageverlauf oder Synchronisationsfunktionen deines Geräts können sie speichern. „In E-Mail öffnen“ übergibt die Zusammenfassung an deine E-Mail-Anwendung; diese kann den Entwurf schon vor dem Versand speichern oder synchronisieren. Wir erhalten ihn als Nachricht, wenn du ihn selbst absendest. Bei deaktiviertem JavaScript steht das Briefing nicht zur Verfügung; du kannst uns stattdessen direkt per E-Mail kontaktieren.

Links zu unseren Portfolio-Demos unterliegen diesen Datenschutzhinweisen. Bei Links zu Websites anderer Betreiber verarbeitet die Zielwebsite nach dem Öffnen die für den Aufruf erforderlichen Verbindungsdaten; es gelten die Datenschutzhinweise des jeweiligen Betreibers.

Fieldform und Shine Right sind von Elgo Design betriebene fiktive Portfolio-Demos. Ihre Anfrage- und Buchungsoberflächen veranschaulichen einen Ablauf; sie bieten keinen echten Bestell- oder Terminservice. Verwende Beispieldaten. Bei normalen Seiten- und Dateiabrufen fallen weiterhin die in den Abschnitten 02 und 03 beschriebenen Hosting- und Cloudflare-Verbindungsdaten an.

Shine Right zeigt zunächst eine lokal gehostete schematische Karte. Externe CARTO-Kartenkacheln werden erst geladen, nachdem du ausdrücklich „Enable external map“ auswählst. Dein Browser sendet dann Anfragen an die Infrastruktur zur Auslieferung der CARTO-Kartenkacheln. Diese erhält Verbindungsdaten einschließlich deiner IP-Adresse sowie Informationen zu den angeforderten Kartenausschnitten und Zoomstufen. Der Abgleich von Gebieten erfolgt weiterhin lokal; Suchtexte werden nicht an einen Kartenanbieter übermittelt. Nominatim-Suchen und Zugriffe auf den Gerätestandort werden nicht verwendet. Die Website speichert deine Auswahl zur Kartenaktivierung nicht.

Wenn du die externe Karte deaktivierst oder schließt, wird die externe Kartenebene entfernt. Bereits gesendete Anfragen werden dadurch nicht rückgängig gemacht, bereits bei den Auslieferungsanbietern eingegangene Daten nicht gelöscht und der normale Browser-Cache nicht geleert. Die an anderer Stelle beschriebenen Hosting- und Cloudflare-Verarbeitungen bleiben ebenfalls bestehen.

CARTO-Datenschutzhinweise

Diese Hinweise gelten für die genannten, von uns betriebenen Demos, nicht für künftige Kundenwebsites.

Für die beschriebenen Verarbeitungen setzen wir Hetzner für Website-Infrastruktur und E-Mail, Cloudflare für Website-Bereitstellung, Sicherheit, DNS-/Domain-Dienste und DMARC-Authentifizierungsberichte sowie Easybell für Telefonie ein. Telekommunikationsanbieter verarbeiten die zur Verbindung erforderlichen Daten auch im Rahmen ihrer eigenen gesetzlichen Aufgaben. Soweit Dienstleister in unserem Auftrag verarbeiten, gelten Vereinbarungen nach Art. 28 DSGVO. Weitere Übermittlungen an öffentliche Stellen oder Rechts- und Steuerberater erfolgen nur, soweit sie im konkreten Fall rechtlich erforderlich oder zur Bearbeitung entsprechender Vorgänge notwendig sind. Personenbezogene Daten werden nicht für Werbung verkauft oder weitergegeben.

Der Ursprungsserver steht in Nürnberg, Deutschland. Das beschränkt jedoch nicht sämtliche Verarbeitung auf die EU oder den EWR: Cloudflare verwendet eine internationale Infrastruktur, bei der Daten insbesondere auch in den USA verarbeitet werden können. Für erfasste Übermittlungen an Cloudflare in den USA stützt sich Cloudflare auf die Teilnahme am EU-US Data Privacy Framework, einer Angemessenheitsregelung nach Art. 45 DSGVO. Soweit eine Übermittlung nicht von einer geltenden Angemessenheitsregelung erfasst ist, sieht die Vereinbarung zur Datenverarbeitung Standardvertragsklauseln nach Art. 46 DSGVO einschließlich der mit dem Beschluss (EU) 2021/914 angenommenen Klauseln vor. Die Cloudflare-Vereinbarung zur Datenverarbeitung beschreibt die geltenden Regelungen und den Zugang zu Informationen über die Garantien. Du kannst außerdem über die Kontaktdaten des Verantwortlichen in Abschnitt 01 Informationen anfordern.

Diese Cloudflare-Übermittlungsregelungen betreffen auch die Auslieferung und Absicherung von Fieldform und Shine Right. Die in Abschnitt 09 beschriebenen, lokal verarbeiteten Shine-Right-Karten- und Suchfunktionen übermitteln selbst keine Suchtexte, Auswahlen oder Gerätestandortdaten an einen gesonderten Kartenanbieter außerhalb der EU oder des EWR.

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist. Danach werden sie gelöscht oder anonymisiert, sofern gesetzliche Aufbewahrungspflichten, vertragliche Pflichten, laufende Streitigkeiten oder Rechtsansprüche eine längere Speicherung verlangen. Die Abschnitte 02 und 03 erläutern die Cloudflare-Aufbewahrungskriterien und die Rotation von Serverprotokollen; Abschnitt 04 betrifft Sicherungen, Abschnitt 05 Korrespondenz und Abschnitt 06 Telefonkontakt. Abschnitt 07 erläutert die davon getrennte Sprachwahl auf der Hauptwebsite. Lokale Shine-Right-Kartensuchen, Auswahlen und Buchungseingaben werden nach dem Ende des Seitenzustands im Arbeitsspeicher nicht gezielt von der Demo aufbewahrt; für normale Auslieferungsprotokolle und Sicherungskopien gelten deren getrennte Regeln.

Unter den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Beruht eine Verarbeitung auf einer Einwilligung, kannst du diese nach Art. 7 Abs. 3 für die Zukunft widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Nach Art. 19 DSGVO kannst du verlangen, dass wir dich über die Empfänger informieren, denen eine Berichtigung, Löschung oder Einschränkung der Verarbeitung mitgeteilt wurde.

Zur Ausübung deiner Rechte nutze die Kontaktdaten in Abschnitt 01.

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Nach einem wirksamen Widerspruch beenden wir die Verarbeitung, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Wenn du eine rechtswidrige Verarbeitung vermutest, kannst du dich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Geeignete technische und organisatorische Maßnahmen sollen personenbezogene Daten vor Verlust, Veränderung, unbefugtem Zugriff und Missbrauch schützen. Je nach tatsächlicher Konfiguration gehören dazu HTTPS, Updates, beschränkte Administrationszugänge, sichere Anmeldung, Firewalls, begrenzte Log-Speicherung sowie Backup- und Wiederherstellungsverfahren. Die Maßnahmen werden an technische Entwicklungen und Risiken angepasst.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Diese Erklärung wird angepasst, wenn sich Dienste, Datenverarbeitung oder rechtliche Anforderungen ändern. Die aktuelle Fassung ist auf dieser Website verfügbar.

Stand: 16. Oktober 2026.