Datenschutzerklärung

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

Lokalaise GmbH
Am Strandkai 8
20457 Hamburg
Deutschland

Vertreten durch die Geschäftsführer:
Hendrik-Hauke Rux, Marius Gill, Niklas Köpps

E-Mail: moin@lokalaise.de
Telefon: +49 40 18030693

Registergericht: Amtsgericht Hamburg
Registernummer: HRB 199263

Ein Datenschutzbeauftragter ist nicht benannt, da für uns keine Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG besteht. Ansprechpartner für Datenschutzfragen: Hendrik-Hauke Rux, Geschäftsführer, erreichbar unter moin@lokalaise.de bzw. der Postanschrift des Verantwortlichen.

Diese Datenschutzerklärung informiert Sie nach Art. 13 DSGVO darüber, welche personenbezogenen Daten wir beim Besuch dieser Website verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage, an wen wir sie übermitteln und wie lange wir sie speichern. Wir behandeln Ihre Daten vertraulich und nach den gesetzlichen Datenschutzvorschriften.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Unsere Website wird bei der Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, gehostet. Bei jedem Aufruf verarbeitet Vercel die Daten, die Ihr Browser technisch bedingt übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer-URL, Browsertyp und -version sowie Betriebssystem. Ohne diese Daten kann die Website nicht ausgeliefert werden.

Serverfunktionen, etwa der Versand des Kontaktformulars oder der Login des Investorenbereichs, laufen im Rechenzentrum von Vercel in Frankfurt am Main (EU). Statische Inhalte liefert das Content Delivery Network (CDN) von Vercel weltweit vom jeweils nächstgelegenen Standort aus. Ein Zugriff der Vercel Inc. aus den USA ist möglich; er ist durch das EU-U.S. Data Privacy Framework abgesichert (Art. 45 DSGVO). Fehlermeldungen der Serverfunktionen protokollieren wir ohne Formularinhalte. Zugriffs- und Laufzeit-Protokolle bewahrt Vercel höchstens 30 Tage auf und löscht sie danach automatisch (siehe Ziffer 12).

Mit Vercel haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen; Vercel verarbeitet diese Daten ausschließlich in unserem Auftrag und nach unseren Weisungen. Vercel Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; für Übermittlungen in die USA besteht damit ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb der Website).

Wir nutzen Vercel Web Analytics der Vercel Inc. (Anschrift siehe Ziffer 3) zur Reichweitenmessung. Vercel Web Analytics setzt keine Cookies und speichert keine Informationen auf Ihrem Endgerät. Erfasst werden je Seitenaufruf: Zeitpunkt, aufgerufene Seite, Referrer, ungefährer Standort (Land, Region, Stadt), Gerätetyp sowie Browser und Betriebssystem mit Version. Zur Unterscheidung von Besuchen bildet Vercel serverseitig aus der Anfrage einen Hashwert, der nach 24 Stunden verworfen wird. Nutzerprofile werden nicht erstellt; wir sehen ausschließlich aggregierte Statistiken.

Zusätzlich erfassen wir mit Vercel Web Analytics Interaktionsereignisse (z. B. Klicks auf Schaltflächen, das Öffnen von FAQ-Einträgen, die Auswahl von Reitern, das Erreichen von Formularschritten, das Laden des Buchungskalenders sowie Downloads). Diese Ereignisse enthalten ausschließlich kategoriale Werte (etwa die Bezeichnung einer Schaltfläche oder eines Reiters) und niemals Ihren Namen, Ihre E-Mail-Adresse, Ihr Unternehmen oder von Ihnen eingegebene Freitexte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung zur Verbesserung unseres Angebots). Die Webanalyse ist für die Nutzung der Website nicht erforderlich; Sie können ihr jederzeit widersprechen (siehe Ziffer 13).

Diese Website nutzt die Schriftarten „Space Grotesk“, „Inter“ und „IBM Plex Mono“. Die Schriften werden beim Erstellen der Website einmalig heruntergeladen und anschließend zusammen mit der Website über unseren Hoster ausgeliefert. Beim Aufruf der Website wird keine Verbindung zu Servern von Google oder anderen Schriftanbietern hergestellt.

Auf unserer Seite „Termin buchen“ können Sie über ein eingebettetes Buchungstool einen Termin vereinbaren. Anbieter ist die HubSpot, Inc., Two Canal Park, Cambridge, MA 02141, USA. Das Tool wird von der Adresse meetings-eu1.hubspot.com geladen, die zur europäischen Datenregion von HubSpot gehört. Es wird nicht automatisch geladen: Erst wenn Sie auf „Kalender laden“ klicken, wird eine Verbindung zu HubSpot hergestellt, Ihre IP-Adresse und Browserdaten werden an HubSpot übermittelt und HubSpot kann Cookies setzen (unter anderem __hstc, hubspotutk, __hssc und __hssrc). Vor diesem Klick werden keine Daten an HubSpot übertragen und keine Cookies gesetzt. Über die Schaltfläche „Buchungstool wieder ausblenden“ entfernen Sie das Tool wieder.

Wenn Sie einen Termin buchen, verarbeitet HubSpot die im Buchungsformular abgefragten Angaben (z. B. Name, E-Mail-Adresse und gewählter Termin) in unserem HubSpot-Konto; wir erhalten die Buchung zur Bearbeitung. HubSpot handelt dabei als unser Auftragsverarbeiter; mit HubSpot haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Ohne diese Angaben ist eine Online-Buchung nicht möglich. Alternativ erreichen Sie uns per E-Mail oder Telefon (siehe Ziffer 1).

Auch bei einer Datenregion in der EU kann HubSpot Daten in die USA übermitteln oder von dort darauf zugreifen. HubSpot, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); innerhalb der HubSpot-Gruppe stützt HubSpot Übermittlungen zusätzlich auf EU-Standardvertragsklauseln (Art. 46 DSGVO). Weitere Informationen finden Sie in der Datenschutzerklärung von HubSpot.

Rechtsgrundlage für das Laden des Tools und das Setzen von Cookies: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG (Einwilligung durch aktiven Klick; Widerruf siehe Ziffer 9). Rechtsgrundlage für die Verarbeitung Ihrer Buchungsdaten: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

Auf der Seite „Kontakt“ können Sie über ein Formular eine Demo anfragen. Dabei erheben wir folgende Pflichtangaben:

• Name
• E-Mail-Adresse
• Unternehmen
• Unternehmensgröße und Anliegen (jeweils Auswahl aus vorgegebenen Optionen)
• bei Aufruf über den Preisrechner: die dort gewählte Nutzerzahl

Wir verwenden diese Daten ausschließlich, um Ihre Anfrage zu bearbeiten und mit Ihnen in Kontakt zu treten. Ohne die Pflichtangaben können wir Ihre Anfrage nicht bearbeiten. Schreiben Sie uns direkt per E-Mail oder rufen Sie uns an, verarbeiten wir Ihre Angaben zu demselben Zweck.

Zur Zustellung Ihrer Formularanfrage per E-Mail an unser Team nutzen wir den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend ist Auftragsverarbeiter der Lokalaise GmbH; mit Resend haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Resend verarbeitet Ihre Angaben, einschließlich Ihrer E-Mail-Adresse als Antwortadresse, ausschließlich in unserem Auftrag, und zwar in den USA. Resend ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO). Resend setzt Unterauftragsverarbeiter in den USA ein, für den Versand insbesondere Amazon Web Services, Inc. (AWS); die aktuelle Liste veröffentlicht Resend unter resend.com/legal/subprocessors.

Die Anfrage wird in die E-Mail-Postfächer unserer Geschäftsführer zugestellt; eine Speicherung in einer eigenen Datenbank erfolgt nicht. Unsere E-Mail-Postfächer betreiben wir bei Google Workspace; Vertragspartner ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Nachrichten als unser Auftragsverarbeiter; mit Google haben wir einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Das gilt auch, wenn Sie uns direkt per E-Mail schreiben. Google verarbeitet Daten in Rechenzentren weltweit, auch in den USA. Die Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO).

Zum Schutz vor automatisiertem Missbrauch (Spam) enthält das Formular ein für Menschen unsichtbares Zusatzfeld; ist es ausgefüllt, wird die Anfrage verworfen. Außerdem nehmen wir je IP-Adresse höchstens fünf Anfragen in 15 Minuten an. Dafür wird Ihre IP-Adresse zusammen mit den Zeitpunkten Ihrer Anfragen ausschließlich im flüchtigen Arbeitsspeicher der jeweiligen Serverinstanz gehalten, nicht auf Datenträger geschrieben, nicht in die Anfrage übernommen und spätestens mit dem Ende der Serverinstanz verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage); soweit die Anfrage nicht auf einen Vertragsschluss gerichtet ist, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen). Für den Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO.

Der Investorenbereich ist passwortgeschützt und nur für eingeladene Personen bestimmt. Nach erfolgreicher Passwortprüfung setzen wir ein Sitzungs-Cookie („__Host-lk_investor“). Es enthält ein signiertes Zugriffstoken mit einer zufälligen Sitzungskennung, der Kennung des verwendeten Zugangs und der Gültigkeitsdauer, aber weder Ihren Namen noch Ihre E-Mail-Adresse. Es ist 8 Stunden gültig, wird nur verschlüsselt übertragen und ist für Skripte im Browser nicht auslesbar (HttpOnly, SameSite=Lax). Es ist technisch erforderlich, damit der Zugang nach dem Login bestehen bleibt; mit der Abmeldung wird es gelöscht.

Zum Schutz vor dem Erraten von Passwörtern zählen wir Fehlversuche je Absender. Dazu bilden wir aus Ihrer IP-Adresse einen HMAC-SHA-256-Hashwert (Hash mit geheimem Schlüssel); das ist eine Pseudonymisierung, keine Anonymisierung. Zugelassen sind höchstens 5 Versuche je 10 Minuten, mit wachsender Wartezeit zwischen den Versuchen; Zähler und Sperre verfallen danach automatisch. Bei einem erfolgreichen Login protokollieren wir Zeitpunkt und Kennung des verwendeten Zugangs, nicht Ihre IP-Adresse.

Diese Daten werden im Arbeitsspeicher unserer Serverfunktionen und in einem Schlüssel-Wert-Speicher (Upstash Redis, Datenregion EU) gehalten. Anbieter ist die Upstash, Inc., USA, die als unser Auftragsverarbeiter tätig ist; mit Upstash besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO, der Übermittlungen in die USA über das EU-U.S. Data Privacy Framework und ersatzweise über die EU-Standardvertragsklauseln absichert (Art. 45, 46 DSGVO). Das Anmeldeprotokoll erscheint zusätzlich in den Laufzeit-Protokollen unseres Hosters (siehe Ziffer 3); im Schlüssel-Wert-Speicher bewahren wir die Anmeldungen höchstens 90 Tage auf, maximal die letzten 1.000 Anmeldungen.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (das Cookie ist unbedingt erforderlich, damit wir den von Ihnen ausdrücklich gewünschten Zugang bereitstellen können) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vertraulicher Unterlagen vor unbefugtem Zugriff).

Wir setzen keine Cookies zu Analyse-, Reichweiten- oder Marketingzwecken. Ein technisch erforderliches Cookie setzen wir ausschließlich im Investorenbereich nach dem Login (siehe Ziffer 8). Weitere Cookies entstehen nur, wenn Sie den eingebetteten HubSpot-Kalender auf der Seite „Termin buchen“ durch aktiven Klick selbst laden (siehe Ziffer 6). Darüber hinaus speichern wir keine Informationen auf Ihrem Endgerät.

Ihre Einwilligung zum Laden des HubSpot-Kalenders können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie das Buchungstool wieder ausblenden. Gesetzte Cookies können Sie zudem in den Einstellungen Ihres Browsers löschen.

Eine Übermittlung personenbezogener Daten an Dritte erfolgt nur in den in dieser Datenschutzerklärung genannten Fällen. Empfänger sind unsere Auftragsverarbeiter, mit denen jeweils ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO besteht:

• Vercel Inc., USA (Hosting, Serverfunktionen im Rechenzentrum Frankfurt am Main und Webanalyse; siehe Ziffern 3 und 4) — EU-U.S. Data Privacy Framework
• HubSpot, Inc., USA (Terminbuchung, nur nach Ihrem Klick; EU-Datenregion; siehe Ziffer 6) — EU-U.S. Data Privacy Framework, ergänzend EU-Standardvertragsklauseln
• Plus Five Five, Inc. (Resend), USA, mit Amazon Web Services, Inc. als Unterauftragsverarbeiter (E-Mail-Versand von Formularanfragen; siehe Ziffer 7) — EU-U.S. Data Privacy Framework sowie EU-Standardvertragsklauseln
• Google Ireland Limited, Irland (Google Workspace; E-Mail-Postfächer für Formularanfragen und direkte E-Mails; siehe Ziffer 7) — für Übermittlungen an die Google LLC in die USA: EU-U.S. Data Privacy Framework, ergänzend EU-Standardvertragsklauseln
• Upstash, Inc., USA (Schlüssel-Wert-Speicher für den Investorenbereich, Datenregion EU; siehe Ziffer 8) — EU-U.S. Data Privacy Framework, ersatzweise EU-Standardvertragsklauseln

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Unsere Website enthält Links zu Websites Dritter (z. B. Quellenangaben in Fachbeiträgen oder Teilen-Links zu LinkedIn und X). Es werden keine Inhalte dieser Anbieter automatisch nachgeladen. Erst wenn Sie einem Link folgen, werden Daten an den jeweiligen Anbieter übermittelt; für diese Verarbeitung gilt dessen Datenschutzerklärung.

Wir speichern personenbezogene Daten nur so lange, wie dies zur Erfüllung der jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Danach werden die Daten gelöscht. Im Einzelnen:

• Zugriffs- und Laufzeit-Protokolle beim Hoster: höchstens 30 Tage, danach automatische Löschung
• Analytics-Hashwert: 24 Stunden
• Investorenbereich: Sitzungs-Cookie und Sitzungskennung 8 Stunden; Fehlversuchszähler 10 Minuten; Anmeldeprotokoll im Schlüssel-Wert-Speicher: höchstens 90 Tage, maximal die letzten 1.000 Anmeldungen
• IP-Adresse zur Begrenzung von Formularanfragen: ausgewertet für ein Zeitfenster von 15 Minuten, nur im flüchtigen Arbeitsspeicher
• Formularanfragen, E-Mails und Terminbuchungen: bis zur abschließenden Bearbeitung; darüber hinaus nur, solange ein Vertragsverhältnis besteht oder gesetzliche Aufbewahrungspflichten greifen (sechs Jahre für Handels- und Geschäftsbriefe nach § 257 HGB, zehn Jahre für Buchungsbelege nach § 147 AO)

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf:

• Auskunft über Ihre gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine E-Mail an moin@lokalaise.de.

Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg (datenschutz-hamburg.de).

Unsere Website nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile Ihres Browsers von „http://“ auf „https://“ wechselt. Wir weisen darauf hin, dass die Datenübertragung im Internet dennoch Sicherheitslücken aufweisen kann. Ein lückenloser Schutz vor dem Zugriff durch Dritte ist nicht möglich.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die rechtlichen Anforderungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.