Datenschutz­erklärung

1. Verantwortlicher

Telefon: +49 451 61122272
E-Mail: info@ninjapiraten.de
Web: www.ninjapiraten.de

Geschäftsführer: Philipp Schatton, Malte Fonfara

2. Allgemeine Hinweise zu Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit es gesetzlich erlaubt ist:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), zum Beispiel für den Newsletter.
• Vertrag und Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO), zum Beispiel bei Anfragen zu unseren Leistungen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO), zum Beispiel Aufbewahrungspflichten.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO), zum Beispiel ein sicherer Betrieb der Website.

Für das Speichern oder Lesen von Informationen auf eurem Endgerät (Cookies, Local Storage und ähnliche Techniken) braucht es eure vorherige Einwilligung (§ 25 Abs. 1 TDDDG), außer es ist für eine von euch gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 TDDDG). Diese Website setzt keine Cookies und speichert auf eurem Gerät nur, was Abschnitt 8 nennt.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

3. Hosting und Server-Logfiles

Unsere Website liegt auf einem eigenen Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, in einem Rechenzentrum in Deutschland. Wir nutzen kein Content Delivery Network.

Ruft ihr unsere Website auf, verarbeitet der Server technisch notwendige Zugriffsdaten in sogenannten Logfiles: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, die zuvor besuchte Seite (Referrer), Browser und Betriebssystem (User Agent), Statuscode und übertragene Datenmenge.

Zwecke: Auslieferung der Website, IT-Sicherheit (zum Beispiel Erkennen von Angriffen) und Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, störungsfreien Betrieb).
Speicherdauer: Die Logfiles löschen wir nach 7 Tagen, außer wir brauchen einzelne Einträge länger, um einen konkreten Angriff aufzuklären.
Auftragsverarbeitung: Mit IONOS haben wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

4. Kontaktformular und Website-Check

Wenn ihr uns über ein Formular auf dieser Website schreibt (Anfrage, Kontakt oder „Website einschicken“ auf der Seite Rapid Website), verarbeiten wir eure Angaben, um eure Anfrage zu beantworten und eine Erstberatung zu vereinbaren, beim Website-Check außerdem, um eure Website zu prüfen und einen Entwurf vorzubereiten. Das sind bei der Anfrage Name, E-Mail-Adresse und euer Anliegen, freiwillig Firma und Telefonnummer; beim Website-Check Name, E-Mail-Adresse, Firma und die Adresse eurer Website, freiwillig eine kurze Beschreibung, was besser werden soll. Mitgeschickt wird außerdem, auf welcher Seite ihr das Formular abgeschickt habt.

• Weg der Anfrage: Das Formular geht an ein Programm auf unserem eigenen Server bei IONOS in Deutschland. Es schickt eure Angaben per E-Mail an info@ninjapiraten.de und legt sie als Lead in unserem CRM Pipedrive an (Abschnitt 12).
• Eingangsbestätigung: An die angegebene E-Mail-Adresse geht eine automatische Bestätigung. Sie enthält eure Nachricht nicht.
• Sicherungskopie: Damit keine Anfrage verloren geht, wenn E-Mail oder CRM kurz nicht erreichbar sind, legt der Server eine verschlüsselte Kopie eurer Angaben ab (AES-256). Sie wird nach 30 Tagen automatisch gelöscht.
• Spamschutz ohne Fremddienste: Wir verwenden keine Dienste Dritter und keine Cookies. Das Formular enthält ein für Menschen unsichtbares Feld. Außerdem holt euer Browser beim ersten Antippen des Formulars eine Rechenaufgabe von unserem Server und löst sie im Hintergrund (meist in unter einer Sekunde, ihr müsst dafür nichts tun); die Lösung geht mit dem Formular an unseren Server, der sie dort prüft. Die Aufgabe enthält keine Angaben über euch, nur den Zeitpunkt, zu dem ihr mit dem Ausfüllen begonnen habt: Daran sieht der Server, wie lange das Ausfüllen gedauert hat (nur die Dauer). Damit jede Lösung nur einmal gilt, merkt sich der Server ihre Zufallszahl im Arbeitsspeicher, bis die Aufgabe nach 10 Minuten abläuft. Ohne JavaScript entfällt die Rechenaufgabe. Gegen massenhafte Einsendungen und massenhaftes Abholen von Aufgaben bildet der Server aus eurer IP-Adresse mit einem geheimen Schlüssel einen Prüfwert und speichert nur diesen, nicht die Adresse selbst. Er liegt nur im Arbeitsspeicher des Servers und gilt für ein Zeitfenster von 10 Minuten; danach löscht ihn der Server innerhalb einer Minute. Ein Protokoll hält Zeitpunkt und Ergebnis fest, bei einem Fehler auch eine kurze Meldung des Mailservers, nie den Inhalt eurer Nachricht; es wird nach 30 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung), bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Sicherungskopie, Spamschutz und Begrenzung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, zuverlässigen Betrieb).
Empfänger: IONOS SE (Server), Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin (E-Mail-Postfach info@), und Pipedrive (Abschnitt 12), jeweils als Auftragsverarbeiter.
Speicherdauer: Sicherungskopie 30 Tage. Im Postfach und in Pipedrive, bis eure Anfrage erledigt ist. Wird daraus kein Auftrag, löschen wir sie spätestens drei Jahre nach dem letzten Kontakt; wird daraus ein Auftrag, gelten die gesetzlichen Aufbewahrungsfristen.

5. Newsletter „Flaschenpost“

Wenn ihr euch für unseren Newsletter anmeldet, verwenden wir eure E-Mail-Adresse, um euch den Newsletter zu schicken. Nach der Anmeldung schickt euch unser Server eine E-Mail mit einem Link, über den ihr die Anmeldung bestätigt (Double-Opt-in). Bis dahin speichern wir eure Adresse nicht: Sie steht nur in dieser E-Mail und im Link, der nach 14 Tagen verfällt. Schickt ihr das Formular ohne JavaScript ab, geht keine solche E-Mail an euch, sondern eure Adresse per E-Mail an info@ (mailbox.org); wir schicken euch die Bitte um Bestätigung dann von Hand und löschen diese E-Mail, sobald das erledigt ist, spätestens nach 30 Tagen. Erst wenn ihr auf der verlinkten Seite die Anmeldung bestätigt, tragen wir euch in unserem CRM Pipedrive (Abschnitt 12) als Abonnenten ein; über Pipedrive Campaigns verschicken wir auch den Newsletter. Als Nachweis der Einwilligung speichern wir dort den Zeitpunkt der Anmeldung und der Bestätigung. Der Spamschutz aus Abschnitt 4 gilt auch hier.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); Nachweis der Einwilligung: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.
Empfänger: IONOS SE (Server), Heinlein Hosting GmbH (mailbox.org, Versand der Bestätigungsmail) und Pipedrive (Abschnitt 12), jeweils als Auftragsverarbeiter. Klappt der Eintrag in Pipedrive nach eurer Bestätigung nicht, schickt der Server eure Adresse mit dem Nachweis per E-Mail an info@, damit wir euch von Hand eintragen.
Speicherdauer: Bis ihr euch abmeldet. Bestätigt ihr die Anmeldung nicht, speichern wir eure Adresse nicht. Nach einer Abmeldung bleibt eure Adresse als abgemeldet gesperrt, damit ihr keine Ausgaben mehr bekommt und wir die frühere Einwilligung nachweisen können, höchstens drei Jahre (Art. 6 Abs. 1 lit. f DSGVO).
Widerruf: Abmelden könnt ihr euch jederzeit, über den Link in jeder Ausgabe oder per E-Mail an info@ninjapiraten.de.

6. Kontakt per E-Mail oder Telefon

Schreibt ihr uns eine E-Mail oder ruft ihr an, verarbeiten wir eure Angaben, um euer Anliegen zu beantworten. E-Mails an info@ninjapiraten.de liegen bei der Heinlein Hosting GmbH (mailbox.org), Berlin, als Auftragsverarbeiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung), sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).
Speicherdauer: wie bei Anfragen über das Formular (Abschnitt 4).

7. Bewerbungen

Bewerbt ihr euch bei uns, etwa per E-Mail auf eine Stelle von unserer Seite „Über uns“, verarbeiten wir eure Angaben und Unterlagen, um über die Einstellung zu entscheiden. Sie sehen nur die Geschäftsführung und die Personen, die über die Stelle mitentscheiden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Arbeitsverhältnisses); für die Aufbewahrung nach einer Absage Art. 6 Abs. 1 lit. f DSGVO (Nachweis gegenüber Ansprüchen nach dem AGG).
Empfänger: Heinlein Hosting GmbH (mailbox.org) für das Postfach, bei der weiteren Abstimmung Google Workspace (Abschnitt 10).
Speicherdauer: Kommt keine Zusammenarbeit zustande, löschen wir eure Unterlagen sechs Monate nach der Absage, außer ihr erlaubt uns, sie länger für spätere Stellen aufzuheben. Bei einer Einstellung kommen sie in die Personalakte.

8. Einstellungen in eurem Browser

Die Website richtet die helle oder dunkle Darstellung nach der Einstellung eures Geräts und der Uhrzeit. Das rechnet euer Browser aus; euer Standort wird dafür nicht abgefragt und nichts übertragen.

• Wählt ihr hell oder dunkel von Hand, merkt sich die Website das für den laufenden Besuch (Session Storage, Eintrag „np-modus“). Der Eintrag verschwindet, wenn ihr den Tab schließt.
• Haltet ihr die Bewegung an, merkt sich die Website das auch für spätere Besuche (Local Storage, Eintrag „np-bewegung“). Löschen könnt ihr den Eintrag über die Einstellungen eures Browsers.

Diese Angaben verlassen euer Gerät nicht.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für eine von euch gewünschte Funktion).

Schriften, Skripte und Bilder liegen auf unserem eigenen Server. Beim Besuch der Website werden keine Inhalte von Drittanbietern geladen.

9. Links zu anderen Websites und sozialen Netzwerken

Wir verlinken unter anderem auf Instagram, LinkedIn, OpenStreetMap und die Websites unserer Kundinnen und Kunden. Inhalte dieser Dienste binden wir nicht ein. Erst wenn ihr einen Link anklickt, ruft euer Browser die fremde Seite auf; dort gilt die Datenschutzerklärung des jeweiligen Anbieters.

10. Interne Verarbeitung in Google Workspace

Zur internen Zusammenarbeit, etwa beim Vorbereiten von Angeboten und Projekten, nutzen wir Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), zum Beispiel Drive und Docs.

Daten und Zwecke: Kommunikations- und Inhaltsdaten (Dokumente, Tabellen, Präsentationen), Kontaktdaten, Metadaten.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertrag und Vertragsanbahnung) und lit. f DSGVO (effiziente Zusammenarbeit).
Auftragsverarbeitung und Übermittlung: Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln; bei einem Bezug zu den USA zusätzlich das EU-US Data Privacy Framework.

11. Projektmanagement in Asana

Wir organisieren Projekte, Aufgaben und die Abstimmung im Team mit Asana (Asana, Inc., San Francisco, USA).

Daten und Zwecke: Namen, geschäftliche Kontakt- und Nutzungsdaten, Projekt- und Aufgabendaten, Kommentare und Dateien, zur Planung und Abwicklung von Projekten.
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und f DSGVO.
Auftragsverarbeitung und Übermittlung: Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln; Asana ist nach dem EU-US Data Privacy Framework zertifiziert.

12. CRM in Pipedrive

Für Anfragen und Kundenbeziehungen nutzen wir Pipedrive (Pipedrive OÜ, Tallinn, Estland).

Daten und Zwecke: Kontakt- und Kommunikationsdaten, Verlauf von Anfragen und Aufträgen, Notizen, Termine, zur Pflege von Kundenbeziehungen und für den Vertrieb.
Anfragen über diese Website legt unser Server dort automatisch als Lead an (Name, E-Mail, Firma, Telefon, Anliegen bzw. Website, Abschnitt 4).
Bestätigte Anmeldungen zum Newsletter trägt unser Server dort mit E-Mail-Adresse, Zeitpunkt von Anmeldung und Bestätigung ein; der Versand läuft über Pipedrive Campaigns (Abschnitt 5, Rechtsgrundlage dort).
Rechtsgrundlagen: Art. 6 Abs. 1 lit. b und f DSGVO.
Auftragsverarbeitung und Übermittlung: Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln; Pipedrive speichert in Rechenzentren in der EU, im Supportfall sind Zugriffe aus den USA möglich (Standardvertragsklauseln bzw. Data Privacy Framework).

13. Empfänger auf einen Blick

• IONOS SE, Montabaur (Server der Website und des Anfragen-Tools)
• Heinlein Hosting GmbH (mailbox.org), Berlin (E-Mail-Postfach info@, auch für Bewerbungen)
• Pipedrive OÜ, Tallinn (CRM und Newsletter)
• Google Ireland Limited, Dublin (interne Zusammenarbeit)
• Asana, Inc., San Francisco (Projektmanagement)

14. Übermittlungen in Drittländer

Die Website selbst überträgt beim Besuch keine Daten in Länder außerhalb der EU bzw. des EWR. Anfragen aus den Formularen und Newsletter-Anmeldungen landen in Pipedrive; dort im Supportfall sowie bei Google und Asana ist ein Zugriff aus den USA nicht ausgeschlossen. Grundlage sind dann EU-Standardvertragsklauseln und das EU-US Data Privacy Framework für zertifizierte Unternehmen.

15. Speicherdauer

Wir verarbeiten personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist; die einzelnen Fristen stehen in den Abschnitten oben. Danach löschen wir die Daten, außer gesetzliche Aufbewahrungspflichten stehen dem entgegen.

16. Eure Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen habt ihr folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), könnt ihr aus Gründen, die sich aus eurer besonderen Situation ergeben, jederzeit widersprechen. Dann verarbeiten wir die Daten nicht mehr, außer wir können zwingende schutzwürdige Gründe nachweisen. Nutzen wir eure Daten für Direktwerbung, etwa um euch nach einer Anfrage auf passende Leistungen hinzuweisen, könnt ihr jederzeit ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO); dann nutzen wir sie dafür nicht mehr.

Für eure Anliegen genügt eine E-Mail an info@ninjapiraten.de. Zuständig für uns ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel. Ihr könnt euch auch an die Aufsichtsbehörde eures Wohnorts oder Arbeitsplatzes wenden.

17. Pflicht zur Bereitstellung von Daten

Für den bloßen Besuch der Website müsst ihr keine personenbezogenen Daten angeben. Für eine Anfrage oder den Newsletter brauchen wir die Angaben, die im Formular als Pflichtfeld markiert sind; ohne sie können wir euer Anliegen nicht bearbeiten.

18. Datensicherheit

Die Website ist per TLS verschlüsselt. Darüber hinaus treffen wir angemessene technische und organisatorische Maßnahmen zum Schutz eurer Daten, unter anderem Zugriffskontrollen, Verschlüsselung und Berechtigungskonzepte. Mit allen Dienstleistern, die in unserem Auftrag Daten verarbeiten, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, unsere Dienste oder die Verarbeitung ändern. Die aktuelle Fassung steht immer auf dieser Seite.