Datenschutzerklärung

Multi Media Design Patrick Schmetzer
Adam-Foßhag-Straße 37
65428 Rüsselsheim am Main
Deutschland
Mail@Patrickschmetzer.com

Wir speichern keine IP-Adressen. Besuche und Klicks werden nur gezählt – mit Angaben wie Land, Gerätetyp und Herkunft, aber ohne etwas, das auf eine Person zurückführt. Es gibt keine Werbe- oder Tracking-Cookies, kein Profiling und keine Weitergabe zu Werbezwecken.

Die Website läuft bei Vercel Inc. (440 N Barranca Ave, Suite 4133, Covina, CA 91723, USA) in der Region Frankfurt am Main. Beim Aufruf verarbeitet Vercel technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, angefragte Adresse, Browserkennung), um die Seite auszuliefern und gegen Angriffe zu schützen. Inhalte und Statistiken liegen in einer Datenbank von Neon Inc. (USA).

Beide Anbieter sind nach dem EU-US Data Privacy Framework zertifiziert; mit ihnen bestehen Verträge zur Auftragsverarbeitung. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Wird eine Link-Seite aufgerufen oder ein Link darauf angeklickt, zählen wir das. Gespeichert werden: Zeitpunkt, Seite und Block, Gerätetyp, Browser und Betriebssystem (aus der Browserkennung), das Land als zweistelliger Code (vom Hosting-Anbieter ermittelt), die Herkunft des Besuchs (z. B. „Instagram“) und Kampagnen-Kennzeichen aus der Adresse (utm_*).

Die IP-Adresse wird beim Eintreffen mit HMAC-SHA256 und einem geheimen, wechselbaren Schlüssel in einen Prüfwert umgerechnet und danach verworfen. Der Prüfwert dient nur dazu, Missbrauch zu begrenzen und denselben Besuch nicht doppelt zu zählen; er wird nicht in der Datenbank gespeichert. Rechtsgrundlage ist das berechtigte Interesse der Seiteninhaber und unser eigenes an einer Reichweitenmessung, die niemanden identifiziert (Art. 6 Abs. 1 lit. f DSGVO).

Auf Link-Seiten setzen wir höchstens ein Cookie: „lv_…“ mit einem Zufallswert, standardmäßig für 5 Minuten, damit ein Neuladen nicht als zweiter Besuch zählt.

Wer sich anmeldet, erhält „session“ (15 Minuten) und „refresh_token“ (7 Tage), die die Anmeldung halten.

Alle drei sind für die jeweilige Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und werden nicht zur Wiedererkennung über Websites hinweg verwendet.

Bilder, die Seiteninhaber hochladen, werden über Cloudinary (Cloudinary Ltd., Israel, und Cloudinary Inc., USA) gespeichert und ausgeliefert. Beim Laden eines Bildes erhält Cloudinary technisch die IP-Adresse des Browsers. Für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission; Übermittlungen in die USA stützen sich auf die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Link-Seiten können Videos, Musik, Karten oder Terminbuchungen anderer Dienste einbetten (z. B. YouTube, Vimeo, Spotify, Google Maps, Calendly). Bis zum Klick auf „Abspielen“ wird nichts von diesen Diensten geladen. Erst danach stellt der Browser eine Verbindung zum jeweiligen Anbieter her, und es gilt dessen Datenschutzerklärung. YouTube wird über den Modus ohne Cookies eingebunden. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO).

Manche Link-Seiten enthalten ein Formular. Was Sie dort eingeben, erreicht den Inhaber dieser Seite; wir speichern es in seinem Auftrag, bis er es löscht oder die von ihm eingestellte Aufbewahrungsfrist abläuft. Für den Umgang mit Ihrer Nachricht ist der Seiteninhaber verantwortlich.

Für ein Konto speichern wir E-Mail-Adresse, Rolle, den Zeitpunkt der letzten Anmeldung, optional einen Namen und ein Profilbild, und das Passwort ausschließlich als Argon2id-Hash. Einladungen und angeforderte Links zum Zurücksetzen des Passworts senden wir über unseren Mailserver (Nexentrium, gehostet bei der Alfahosting GmbH, Deutschland) an diese Adresse. Rechtsgrundlage ist die Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gelöscht, wenn das Konto entfernt wird — Sie können Ihr Konto jederzeit selbst unter „Account“ löschen; nur der einzige Inhaber eines Arbeitsbereichs muss zuvor einen weiteren Inhaber einladen.

Fragen Sie über „Request access“ auf der Startseite eine Seite an, speichern wir die gewünschte Adresse, Ihre E-Mail-Adresse, Ihre optionale Notiz, den Zeitpunkt und den Satz, dem Sie zugestimmt haben – keine IP-Adresse und keine Gerätedaten. Lesen können die Anfrage nur die Inhaber dieser Installation; wir antworten Ihnen per E-Mail. Rechtsgrundlage sind Ihre Einwilligung beim Absenden und die Anbahnung eines Nutzungsverhältnisses auf Ihre Anfrage (Art. 6 Abs. 1 lit. a und b DSGVO). Wir löschen die Anfrage, sobald sie erledigt ist, spätestens nach 90 Tagen.

Schreiben Sie uns auf anderem Weg, verarbeiten wir Ihre Adresse und Nachricht, um zu antworten (Art. 6 Abs. 1 lit. b und f DSGVO), und löschen sie, wenn die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

Die Schriftarten werden von unserem eigenen Server geladen. Es besteht keine Verbindung zu Google oder einem anderen Schriftanbieter.

Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 15–21 DSGVO). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Schreiben Sie dazu an die oben genannte Adresse.

Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO).

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1, 65189 Wiesbaden
datenschutz.hessen.de

Multi Media Design Patrick Schmetzer
Adam-Foßhag-Straße 37
65428 Rüsselsheim am Main
Germany
Mail@Patrickschmetzer.com

We store no IP addresses. Visits and clicks are only counted — with details such as country, device type and source, but nothing that leads back to a person. There are no advertising or tracking cookies, no profiling and no sharing for advertising.

The website runs on Vercel Inc. (440 N Barranca Ave, Suite 4133, Covina, CA 91723, USA) in the Frankfurt am Main region. On every request Vercel processes the technically necessary access data (IP address, time, requested address, browser identifier) to deliver the page and protect it from attacks. Content and statistics are kept in a database run by Neon Inc. (USA).

Both providers are certified under the EU-US Data Privacy Framework, and data processing agreements are in place with them. The legal basis is our legitimate interest in secure and reliable operation (Art. 6 (1) (f) GDPR).

When a link page is opened or a link on it is clicked, we count it. We store: the time, the page and block, the device type, browser and operating system (from the browser identifier), the country as a two-letter code (determined by the hosting provider), where the visit came from (e.g. “Instagram”) and campaign tags from the address (utm_*).

The IP address is turned into a check value on arrival with HMAC-SHA256 and a secret, rotatable key, and then discarded. The check value only serves to limit abuse and to avoid counting the same visit twice; it is not stored in the database. The legal basis is the page owners' and our own legitimate interest in measuring reach without identifying anyone (Art. 6 (1) (f) GDPR).

On link pages we set at most one cookie: “lv_…” with a random value, for 5 minutes by default, so that a reload is not counted as a second visit.

Anyone who signs in receives “session” (15 minutes) and “refresh_token” (7 days), which keep them signed in.

All three are strictly necessary for their function (§ 25 (2) no. 2 TDDDG) and are not used to recognise anyone across websites.

Images uploaded by page owners are stored and delivered through Cloudinary (Cloudinary Ltd., Israel, and Cloudinary Inc., USA). When an image loads, Cloudinary technically receives the browser's IP address. The EU Commission has issued an adequacy decision for Israel; transfers to the USA rely on the EU Commission's standard contractual clauses. The legal basis is Art. 6 (1) (f) GDPR.

Link pages can embed videos, music, maps or booking pages from other services (e.g. YouTube, Vimeo, Spotify, Google Maps, Calendly). Nothing is loaded from those services until you press play. Only then does your browser connect to that provider, whose privacy policy applies. YouTube is embedded in its no-cookie mode. The legal basis is your consent by pressing play (Art. 6 (1) (a) GDPR).

Some link pages contain a form. What you enter there reaches the owner of that page; we store it on their behalf until they delete it or the retention period they set runs out. The page owner is responsible for how your message is used.

For an account we store the email address, the role, the time of the last sign-in, optionally a name and a profile picture, and the password, only ever as an Argon2id hash. Invitations, and password-reset links you ask for, are sent to that address through our mail server (Nexentrium, hosted by Alfahosting GmbH, Germany). The legal basis is providing the service (Art. 6 (1) (b) GDPR). The data is deleted when the account is removed — you can delete your own account at any time under "Account"; only a workspace's single owner has to invite another owner first.

If you ask for a page through “Request access” on the front page, we store the address you asked for, your email address, your optional note, the time, and the sentence you agreed to — no IP address and no device details. Only the owners of this deployment can read the request; we answer you by email. The legal basis is your consent when you send it and taking steps at your request before an account is set up (Art. 6 (1) (a) and (b) GDPR). We delete the request once it is settled, and after 90 days at the latest.

If you write to us any other way, we process your address and message to reply (Art. 6 (1) (b) and (f) GDPR), and delete them once the request is settled and no retention duty applies.

Fonts are loaded from our own server. There is no connection to Google or any other font provider.

You have the right of access, rectification, erasure and restriction of processing, the right to data portability, and the right to object to processing based on legitimate interests (Art. 15–21 GDPR). You can withdraw consent at any time with effect for the future. Write to the address above.

You can also lodge a complaint with a data protection supervisory authority (Art. 77 GDPR).

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1, 65189 Wiesbaden
datenschutz.hessen.de