Datenschutz­erklärung

1. Worum es geht

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie

• unsere Webseite unter sitizensolutions.com (auch mit „www“) besuchen,
• uns über das Anfrageformular oder per E-Mail schreiben oder
• unser Kundenportal unter portal.sitizensolutions.com nutzen.

Das Kundenportal verweist auf diese Erklärung; sie gilt für die Webseite und das Portal gemeinsam.

Kurz zusammengefasst: Auf unserer Webseite setzen wir für Besucher keine Cookies, kein Tracking, keine Statistik- oder Analysedienste, keine Werbung und keine Social-Media-Plugins ein. Schriften und Bilder kommen von unserem eigenen Server. Wir übermitteln keine personenbezogenen Daten in Länder außerhalb der Europäischen Union.

Für Webseiten, die wir im Auftrag unserer Kunden betreiben, ist der jeweilige Kunde verantwortlich. Dort gilt die Datenschutzerklärung des Kunden.

2. Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Sitizen Solutions, Inhaber Christos Tsiobanopoulos

Waldhofstr. 22, 68169 Mannheim, Deutschland

E-Mail: info@sitizensolutions.com

Telefon: +49 179 4349507

3. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, weil dafür keine gesetzliche Pflicht besteht. Fragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

[bitte bestätigen: kein Datenschutzbeauftragter benannt. Eine Pflicht besteht nach § 38 BDSG in der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.]

4. Hosting und Server

Webseite und Kundenportal laufen auf einem eigenen virtuellen Server, den wir bei der netcup GmbH, Karlsruhe, Deutschland, gemietet haben. Das Rechenzentrum liegt in Deutschland. [bitte bestätigen: Standort des Rechenzentrums laut Vertrag]

Die Webseite läuft auf unserer eigenen Software („Sitizen Baukasten“), das Kundenportal ebenfalls auf eigener Software mit eigener Datenbank. Beide Anwendungen laufen in getrennten Containern. Vor ihnen steht ein gemeinsamer Vermittlungsserver (Reverse-Proxy) auf demselben Server, der die verschlüsselte Verbindung zu Ihrem Browser herstellt.

netcup verarbeitet die auf dem Server gespeicherten Daten nur in unserem Auftrag; dafür besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. [bitte bestätigen: Vertrag zur Auftragsverarbeitung mit netcup abgeschlossen]

Die Zertifikate für die verschlüsselte Verbindung (TLS) beziehen wir von der Zertifizierungsstelle Let's Encrypt. Dabei ruft unser Server die Zertifikate ab; Daten von Besuchern werden dabei nicht übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren, verlässlichen und wirtschaftlichen Bereitstellung von Webseite und Portal; im Portal dient das Hosting außerdem der Erfüllung unserer Verträge (Art. 6 Abs. 1 lit. b DSGVO).

5. Besuch der Webseite

Welche Daten anfallen

Wenn Sie eine Seite aufrufen, sendet Ihr Browser technisch bedingt Angaben an unseren Server, insbesondere Ihre IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie Angaben zu Browser und Betriebssystem. Ohne diese Angaben kann die Seite nicht ausgeliefert werden. Die Seiten werden auf unserem Server erzeugt.

Protokolle

Nach unseren Betriebsregeln enthalten die Protokolle der Webseite und des Reverse-Proxys keine IP-Adressen von Besuchern. Die Protokolle der Container werden automatisch begrenzt (höchstens drei Dateien zu je 10 MB); ältere Einträge werden dabei überschrieben.

[bitte prüfen: ob und wie lange der Proxy Zugriffe protokolliert und welche Angaben die Protokolle enthalten]

Schutz vor Missbrauch

Um unsere Webseite vor Überlastung und Missbrauch zu schützen, zählen wir die Anfragen je IP-Adresse kurzzeitig im Arbeitsspeicher und begrenzen sie bei Bedarf. Die IP-Adresse wird dabei nicht gespeichert.

Preistabelle

Die Preise auf der Webseite holt unser Webserver direkt beim Kundenportal ab (von Server zu Server). Dabei werden keine Daten über Sie übermittelt.

Rechtsgrundlage

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Auslieferung der Webseite, ihrer Sicherheit und Stabilität sowie in der Fehlersuche.

Was wir nicht einsetzen

• keine Cookies für Besucher (siehe Abschnitt 7),
• keine Statistik-, Analyse- oder Trackingdienste,
• keine Werbung und keine Werbenetzwerke,
• keine Social-Media-Plugins,
• keine eingebetteten Karten oder Videos,
• keine Schriften oder Bilder von fremden Servern (keine Google Fonts, kein Content-Delivery-Network).

6. Anfrageformular und Kontakt per E-Mail

Anfrageformular

Wenn Sie uns über das Anfrageformular schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Nachricht und – wenn Sie sie angeben – Ihre Telefonnummer. Außerdem speichern wir, auf welcher Seite Sie das Formular abgeschickt haben.

Ihre Anfrage wird in der Datenbank der Webseite gespeichert. Zusätzlich erhalten wir eine Benachrichtigung per E-Mail an unser Postfach. Dieses Postfach liegt bei der STRATO GmbH, Berlin, Deutschland. [bitte prüfen: Firma laut Vertrag – STRATO firmiert laut eigenem Impressum inzwischen als STRATO GmbH, nicht mehr als AG]

Name, E-Mail-Adresse und Nachricht brauchen wir, um Ihre Anfrage zu beantworten. Die Telefonnummer ist freiwillig.

Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir die Angaben, die Sie uns mitteilen, um Ihr Anliegen zu bearbeiten.

Rechtsgrundlage und Speicherdauer

Zielt Ihre Anfrage auf einen Vertrag mit uns, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Anfragen zu beantworten.

Wir löschen Anfragen sechs Monate nach Abschluss der Anfrage, sofern kein Vertrag folgt. [Vorschlag – bitte prüfen: Löschung 6 Monate nach Abschluss der Anfrage, sofern kein Vertrag folgt; das gilt auch für die Benachrichtigungen im Postfach] Kommt ein Vertrag zustande, bewahren wir die Korrespondenz auf, soweit gesetzliche Aufbewahrungspflichten bestehen (zum Beispiel für Handels- und Geschäftsbriefe nach § 257 HGB und § 147 AO).

7. Cookies

Cookies sind kleine Textdateien, die Ihr Browser speichert. Das Speichern von und der Zugriff auf Informationen in Ihrem Endgerät richtet sich nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).

Webseite

Als Besucher unserer Webseite erhalten Sie von uns kein Cookie.

Unsere Software kennt ein Cookie „einwilligung“ (Speicherdauer ein Jahr), das Ihre Auswahl speichert. Es wird nur auf Webseiten gesetzt, die Dienste einsetzen, für die eine Einwilligung nötig ist. Auf dieser Webseite ist das nicht der Fall. Über den Link „Cookie-Einstellungen“ können Sie jederzeit nachsehen, welche Cookies und Dienste diese Webseite einsetzt.

Wer die Webseite in unserem Verwaltungsbereich bearbeitet, erhält nach der Anmeldung das Cookie „__Host-sitzung“. Es hält die Anmeldung aufrecht und gilt bis zur Abmeldung, höchstens 30 Tage.

Kundenportal

Im Kundenportal setzen wir nur technisch notwendige Cookies ein:

• „__Host-sitizen.sitzung“ – hält Ihre Anmeldung aufrecht (Sitzung). [bitte ergänzen: Gültigkeitsdauer dieses Cookies]
• „__Secure-sitizen.google“ – nur kurzzeitig während einer Anmeldung mit Google. Die Anmeldung mit Google ist derzeit ausgeschaltet; dieses Cookie wird daher nicht gesetzt.

Rechtsgrundlage

Technisch notwendige Cookies setzen wir ohne Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG). Die damit verbundene Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Portals nach dem Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (sichere Anmeldung).

Unter dieser Erklärung finden Sie eine automatisch erzeugte Übersicht der Cookies und Dienste, die auf dieser Webseite tatsächlich eingesetzt werden.

8. Kundenportal

Im Kundenportal arbeiten wir mit unseren Kunden zusammen: Kunden bestellen dort Leistungen, besprechen Entwürfe, geben Ergebnisse frei, legen Dateien ab, erhalten Rechnungen und stellen Support-Anfragen. Das Portal läuft auf demselben Server bei netcup (Abschnitt 4) mit einer eigenen Datenbank.

8.1 Unsere Rolle

Unsere Kunden sind Unternehmen und Privatpersonen. Für die Verwaltung der Kundenbeziehung (Vertrag, Bestellungen, Rechnungen) und für die Sicherheit des Portals sind wir selbst verantwortlich.

Speichern Unternehmenskunden oder andere Kunden, die selbst Verantwortliche im Sinne der DSGVO sind, im Portal personenbezogene Daten Dritter – zum Beispiel Fotos, Daten ihrer Beschäftigten oder ihrer eigenen Kunden in Dateien, Briefings oder Support-Anfragen –, verarbeiten wir diese Daten im Auftrag des Kunden. Verantwortlich ist dann der Kunde; es gilt unser Vertrag zur Auftragsverarbeitung.

Legen Privatkunden Daten ausschließlich für persönliche oder familiäre Zwecke ab, verarbeiten wir diese Daten nur, um die vereinbarte Leistung zu erbringen, und geben sie nicht an Dritte weiter, außer an die in Abschnitt 9 genannten Dienstleister.

[bitte prüfen: Rollenverteilung – insbesondere, ob die Konten der Mitarbeiter eines Unternehmenskunden (wie im Vertrag zur Auftragsverarbeitung beschrieben) im Auftrag des Kunden verwaltet werden oder ob wir dafür selbst verantwortlich sind, und welche Rolle wir bei Inhalten von Privatkunden haben]

8.2 Zugang auf Einladung

Eine Selbstregistrierung gibt es nicht. Zugang erhalten Sie nur auf Einladung. Für die Einladung verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und – wenn Sie für ein Unternehmen handeln – das Unternehmen und Ihre Rolle dort. Haben wir diese Angaben nicht bei Ihnen selbst erhoben, stammen sie von unserem Kunden, der Sie als Nutzer benannt hat (zum Beispiel Ihrem Arbeitgeber).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind. Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass unser Kunde und wir den vom Kunden benannten Personen Zugang zum Portal geben können. Das gilt auch für Ihr Konto und die Anmeldung (Abschnitt 8.3).

Einladungslinks sind sieben Tage gültig. Abgelaufene Einladungen werden nach 30 Tagen gelöscht.

8.3 Konto und Anmeldung

Für Ihr Konto speichern wir Ihren Namen, Ihre E-Mail-Adresse und – bei Unternehmenskunden – Ihre Rolle dort (zum Beispiel Inhaber, Buchhaltung oder Mitarbeiter). Ihr Passwort speichern wir nur als kryptografischen Hashwert (Verfahren scrypt); wir selbst können es nicht lesen.

Sie melden sich mit Passwort oder mit einem Einmal-Code an, den wir Ihnen per E-Mail schicken. Der Code hat sechs Ziffern und gilt zehn Minuten. Mitarbeiter von Sitizen Solutions melden sich zusätzlich mit einem zweiten Faktor an (Authenticator-App mit zeitbasierten Einmalcodes und Ersatzcodes).

Eine Anmeldung mit Google ist technisch vorbereitet, aber ausgeschaltet. Bevor wir sie einschalten, ergänzen wir diese Erklärung.

Die Kontodaten speichern wir, solange das Konto besteht. [bitte ergänzen: wann Konten gelöscht werden – zum Beispiel sofort, wenn der Kunde einen Nutzer entfernt, und spätestens X Monate nach Vertragsende]

8.4 Protokolle im Portal

• Anmeldungen: Wir protokollieren, wer sich wann auf welchem Weg angemeldet hat, ohne IP-Adresse. Speicherdauer: 90 Tage.
• Einsicht durch Sitizen Solutions: Unsere Mitarbeiter sehen nur mit Freigabe des Kunden in dessen Bereich hinein, etwa zur Unterstützung. Jede solche Einsicht wird protokolliert. Speicherdauer: 365 Tage.
• Änderungsverlauf: Wir protokollieren, wer wann was geändert hat. Speicherdauer: 730 Tage.

Die Protokolle dienen der Sicherheit des Portals, dem Schutz der Kundendaten und der Nachvollziehbarkeit von Änderungen und Freigaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

8.5 Kundendaten und Inhalte

Im Portal verarbeiten wir:

• Stammdaten des Kunden: Name oder Firma, Anschrift, Kundennummer, E-Mail-Adresse und bei Unternehmen die Umsatzsteuer-Identifikationsnummer;
• Projekte mit Entwurfsständen, Kommentaren und Freigaben (mit Name und Zeitpunkt der Freigabe) sowie die fertigen Ergebnisse;
• Bestellungen mit den Antworten auf die Briefing-Fragen, hochgeladenen Dateien, Wunschtermin und Anmerkung;
• bei Druckerzeugnissen die freigegebenen Druckdaten und die Lieferanschrift;
• Dateien, die der Kunde in Ordnern ablegt (in der Regel bis 1 GB je Kunde und bis 250 MB je Datei). Dateien werden unter zufällig erzeugten Namen gespeichert und sind nur mit Berechtigung abrufbar;
• Rechnungen als PDF und als elektronische Rechnung (XRechnung oder ZUGFeRD);
• Support-Anfragen mit Nachrichten und Anhängen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags). Für Rechnungen und andere aufbewahrungspflichtige Unterlagen ist Rechtsgrundlage zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten.

8.6 Speicherdauer der Kundendaten

• Support-Anfragen löschen wir zwei Jahre nach ihrer Erledigung.
• Projekte, Dateien und Rechnungen bleiben gespeichert, bis der Kunde gelöscht wird.
• Nach Vertragsende löschen wir die Dateien des Kunden nach Ablauf einer Frist. [bitte ergänzen: Löschung der Kundendateien X Monate nach Vertragsende]
• Rechnungen bewahren wir so lange auf, wie es das Handels- und Steuerrecht verlangt (§ 147 AO, § 257 HGB, § 14b UStG). Für Rechnungen als Buchungsbelege beträgt die Frist derzeit acht Jahre, gerechnet ab dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt wurde. [bitte mit Steuerberater klären: Aufbewahrungsfristen für Rechnungen und Geschäftsbriefe]

8.7 E-Mails des Portals

Einladungen, Anmeldecodes und Benachrichtigungen verschickt das Portal von der Adresse noreply@sitizensolutions.com über ein Postfach bei der STRATO GmbH, Berlin. Den Inhalt versandter E-Mails speichern wir 90 Tage, damit wir Rückfragen zum Versand beantworten können. Ist eine Adresse nicht erreichbar, speichern wir einen Sperrvermerk für 365 Tage, damit wir nicht wiederholt an diese Adresse senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

STRATO verarbeitet diese Daten in unserem Auftrag. [bitte bestätigen: Vertrag zur Auftragsverarbeitung mit STRATO abgeschlossen]

8.8 Datensicherung

Wir sichern die Datenbank und die Dateien des Portals jede Nacht und halten 14 Sicherungsstände vor. Gelöschte Daten können deshalb noch so lange in den Sicherungen enthalten sein, bis der betreffende Sicherungsstand überschrieben wird. Die Sicherungen dienen ausschließlich der Wiederherstellung. [bitte ergänzen: Speicherort der Sicherungen]

8.9 Was das Portal nicht einsetzt

Das Portal setzt keine Tracker, keine Analysedienste und keine Schriften von fremden Servern ein. Funktionen mit künstlicher Intelligenz sind ausgeschaltet. Bezahlt wird per Rechnung und Überweisung; einen Zahlungsdienstleister setzen wir im Portal nicht ein.

9. Empfänger

Ihre Daten erhalten nur die Personen bei uns, die sie für ihre Aufgabe brauchen. Außerdem setzen wir folgende Dienstleister als Auftragsverarbeiter ein:

• netcup GmbH, Karlsruhe, Deutschland – Server und Hosting;
• STRATO GmbH, Berlin, Deutschland – E-Mail-Postfächer und E-Mail-Versand.

Bei Druckerzeugnissen übermitteln wir die freigegebenen Druckdaten an die Druckerei, die die Ware in unserem Auftrag herstellt, und Ihren Namen und Ihre Lieferanschrift an den Versanddienstleister, der die Ware zustellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. [bitte ergänzen: Name und Sitz der Druckerei(en) und der Versanddienstleister; bitte prüfen: ob die Druckerei als Auftragsverarbeiter tätig wird (dann Vertrag nach Art. 28 DSGVO nötig) und ob sie Daten außerhalb der EU verarbeitet – sonst Abschnitt 10 anpassen]

[bitte prüfen: weitere Empfänger, zum Beispiel Domain- oder DNS-Anbieter, Speicherort der Sicherungen, Steuerberater, Bank]

An Behörden geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind.

10. Keine Übermittlung in Drittländer

Wir verarbeiten Ihre Daten in Deutschland und übermitteln sie nicht in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums.

11. Sind Sie verpflichtet, uns Daten zu geben?

Für den Besuch der Webseite müssen Sie uns keine Daten aktiv mitteilen; die technisch nötigen Angaben (Abschnitt 5) sendet Ihr Browser automatisch. Für eine Anfrage brauchen wir Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht. Für die Nutzung des Kundenportals und für einen Vertrag mit uns brauchen wir die dort genannten Angaben; ohne sie können wir Ihnen keinen Zugang geben und den Vertrag nicht erfüllen. Eine gesetzliche Pflicht, uns Daten zu geben, besteht nicht.

12. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Wir erstellen keine Profile.

13. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

Schreiben Sie uns dazu einfach an info@sitizensolutions.com. Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Kunden verarbeiten (Abschnitt 8.1), leiten wir es an den Kunden weiter und unterstützen ihn bei der Antwort.

Widerspruchsrecht

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie dieser Verarbeitung jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO). Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

14. Beschwerderecht bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn Sie meinen, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Lautenschlagerstraße 20, 70173 Stuttgart (Postanschrift: Postfach 10 29 32, 70025 Stuttgart)

E-Mail: poststelle@lfdi.bwl.de

Webseite: www.baden-wuerttemberg.datenschutz.de

Sie können sich auch an jede andere Aufsichtsbehörde wenden, insbesondere an die an Ihrem Wohnort oder Arbeitsort.

15. Sicherheit

Webseite und Portal sind nur verschlüsselt erreichbar (TLS mit HSTS). Weitere Schutzmaßnahmen beschreiben wir in der Anlage zu unserem Vertrag zur Auftragsverarbeitung.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026