Datenschutzerklärung

Wenn Sie diese Website besuchen oder uns schreiben, fallen Daten an, die sich auf Sie beziehen lassen: Ihre IP-Adresse, Ihre Nachricht, Ihre Telefonnummer. Die Datenschutz-Grundverordnung (DSGVO) nennt das personenbezogene Daten. Hier steht, welche davon wir verarbeiten, wofür, wie lange, wer sie außer uns sieht — und welche Rechte Sie haben (Art. 13 DSGVO).

Jeder Abschnitt beschreibt einen Dienst oder einen Vorgang. Was hier nicht steht, setzen wir auf dieser Website nicht ein. Ändert sich das, ändern wir zuerst diesen Text.

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO:

Michael Sures
Eigenwerk Oberflächengestaltung
Distelrather Str. 23
52351 Düren
Deutschland
E-Mail: [email protected]
Telefon: 0152 58968163

Einen Datenschutzbeauftragten müssen wir nicht benennen: Die Schwellen aus Art. 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG (in der Regel mindestens 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind) erreichen wir nicht. Ansprechpartner für Fragen zum Datenschutz: [email protected].

Wir verarbeiten personenbezogene Daten nur, wenn eine der folgenden Grundlagen greift (Art. 6 Abs. 1 DSGVO). Bei jedem Abschnitt steht, welche:

Einwilligung (lit. a)

Sie haben zugestimmt — etwa im Hinweis zur Reichweitenmessung. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Vertrag oder Anfrage (lit. b)

Sie fragen etwas an oder beauftragen uns; ohne Ihre Daten könnten wir weder antworten noch liefern.

Rechtliche Pflicht (lit. c)

Das Steuerrecht verlangt, dass wir Rechnungen und Geschäftsbriefe aufbewahren.

Berechtigtes Interesse (lit. f)

Etwa der sichere Betrieb des Servers. Dagegen können Sie Widerspruch einlegen — siehe «Widerspruchsrecht».

Speicherdauer. Wir löschen Daten, sobald der Zweck erfüllt ist und keine gesetzliche Aufbewahrungsfrist mehr läuft. Die Fristen stehen bei jedem Abschnitt und in der Übersicht «Speicherdauer».

Empfänger. Dienstleister, die für uns arbeiten (Hosting, Wartung, E-Mail), sind Auftragsverarbeiter nach Art. 28 DSGVO: Sie handeln nach unserer Weisung und dürfen die Daten nicht für eigene Zwecke nutzen. Wer sonst Daten erhält, steht im jeweiligen Abschnitt.

Keine Pflicht, Daten zu geben. Sie müssen uns keine Daten geben. Ohne Kontaktdaten können wir aber nicht antworten, und ohne die technischen Daten beim Aufruf lässt sich keine Website ausliefern.

Keine automatisierten Entscheidungen. Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen, und erstellen keine Profile im Sinne von Art. 22 DSGVO.

Diese Website läuft bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Die Server stehen in Frankfurt am Main, Deutschland. Alles, was Ihr Browser an diese Website sendet, und alles, was Sie uns über Formulare schicken, wird dort verarbeitet.

Den Hosting-Vertrag hält die WinWebDesign GmbH für uns; sie ist unsere Auftragsverarbeiterin (siehe «Technische Betreuung») und hat den Hosting-Anbieter als weiteren Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO vertraglich gebunden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Website sicher und zuverlässig auszuliefern.

Gebaut und technisch betreut wird diese Website von der WinWebDesign GmbH, Bachstrasse 5, 9606 Bütschwil, Schweiz. Sie verwaltet das Hosting, legt Sicherungskopien an und betreibt den Versand der Formularanfragen. Dabei kann sie personenbezogene Daten sehen — etwa Server-Logfiles oder Anfragen im Formular-Postfach.

Sie handelt als Auftragsverarbeiterin nach Art. 28 DSGVO: nur nach unserer Weisung, nicht für eigene Zwecke.

Die WinWebDesign GmbH sitzt in der Schweiz. Das ist ein Drittland im Sinne der DSGVO — aber eines, für das die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt hat (Entscheidung 2000/518/EG, bestätigt im Bericht der Kommission vom 15. Januar 2024). Daten dürfen deshalb ohne zusätzliche Garantien dorthin übermittelt werden (Art. 45 DSGVO).

Wenn Sie diese Website aufrufen, überträgt Ihr Browser technische Daten an den Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und Betriebssystem sowie die zuvor besuchte Seite (Referrer). Ohne diese Daten kann die Seite nicht ausgeliefert werden. Der Server hält sie in Protokolldateien (Logfiles) fest, damit Störungen und Angriffe erkennbar bleiben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der technisch sichere Betrieb der Website. Die Logfiles bleiben höchstens sieben Tage gespeichert und werden dann gelöscht. Länger behalten wir nur, was zur Aufklärung eines Angriffs nötig ist — und nur so lange. Zusätzlich protokolliert Cloudflare Anfragen an diese Website, siehe «Cloudflare».

Diese Website wird über das Netz von Cloudflare ausgeliefert: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA; Niederlassung in der EU: Cloudflare Germany GmbH, Rosenheimer Straße 143C, 81671 München. Cloudflare sitzt als Zwischenstation zwischen Ihrem Browser und unserem Server: Es beantwortet DNS-Anfragen, liefert Seiten aus einem Zwischenspeicher, filtert Angriffe und verschlüsselt die Verbindung.

Dafür sieht Cloudflare jede Anfrage an diese Website — mit Ihrer IP-Adresse, der aufgerufenen Adresse und technischen Angaben zu Browser und Verbindung. Zum Schutz vor automatisierten Zugriffen kann Cloudflare ein technisch notwendiges Cookie setzen (zum Beispiel «__cf_bm»); das ist ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Wie lange Cloudflare Anfragedaten aufbewahrt, beschreibt Cloudflare in seiner Datenschutzerklärung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Angriffen und eine schnelle, stabile Auslieferung. Anfragen werden in dem Cloudflare-Rechenzentrum verarbeitet, das Ihnen am nächsten liegt — für Besucher aus Deutschland in der Regel in der EU. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich enthält der Datenverarbeitungszusatz von Cloudflare die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Näheres im Abschnitt «Datenübermittlung in Drittländer».

Das Cloudflare-Konto führt die WinWebDesign GmbH für uns; Cloudflare ist damit weiterer Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO.

Diese Website wird ausschließlich über HTTPS ausgeliefert. Die Verbindung zwischen Ihrem Browser und dem Server ist mit TLS verschlüsselt; was Sie in ein Formular eingeben, lässt sich unterwegs nicht mitlesen. Sie erkennen die Verschlüsselung am Schloss-Symbol in der Adresszeile Ihres Browsers.

Cookies und ähnliche Techniken speichern Informationen auf Ihrem Gerät oder lesen sie aus. Das deutsche Recht unterscheidet zwei Fälle (§ 25 TDDDG):

Technisch notwendig — ohne Einwilligung. Was unbedingt nötig ist, damit die Website funktioniert, die Sie aufgerufen haben, darf ohne Ihre Zustimmung gespeichert werden (§ 25 Abs. 2 Nr. 2 TDDDG). Auf dieser Website sind das:

• Ihre Antwort auf den Einwilligungshinweis, damit wir nicht bei jedem Aufruf erneut fragen (siehe «Einwilligung»).
• Sitzungs- und Prüfcookies von WordPress, die nur beim Anmelden im Verwaltungsbereich gesetzt werden — bei Ihnen als Besucher also nicht.
• Ein Schutzcookie von Cloudflare gegen automatisierte Zugriffe (siehe «Cloudflare»).

Alles andere — nur mit Einwilligung. Cookies für Reichweitenmessung, Werbung oder eingebettete Inhalte Dritter setzen wir erst, wenn Sie zugestimmt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Welche das sind, steht in den Abschnitten zu den einzelnen Diensten.

Sie können Cookies in Ihrem Browser jederzeit löschen oder blockieren. Blockieren Sie technisch notwendige Cookies, funktionieren einzelne Teile der Website unter Umständen nicht mehr.

Beim ersten Besuch fragt ein Hinweis am unteren Rand, ob wir die Reichweitenmessung einschalten dürfen. Solange Sie nicht auf «Einverstanden» geklickt haben, wird nichts geladen und nichts übertragen — auch nicht auf weiteren Seiten. Das Einwilligungstor ist Teil dieser Website; es gibt keinen externen Anbieter dafür.

Ihre Antwort — «Einverstanden», «Ablehnen» oder keine — merkt sich die Seite im lokalen Speicher Ihres Browsers (localStorage), damit wir nicht bei jedem Aufruf erneut fragen. Dieser Eintrag verlässt Ihr Gerät nicht und wird nirgends protokolliert. Er bleibt so lange gespeichert, bis Sie ihn löschen oder widerrufen. Rechtsgrundlage für diesen Eintrag ist § 25 Abs. 2 Nr. 2 TDDDG: Ohne ihn könnten wir Ihre Entscheidung nicht respektieren.

Widerrufen: Einwilligung widerrufen. Der Hinweis erscheint dann erneut, und bis zu einer neuen Zustimmung wird wieder nichts geladen. Der Widerruf gilt für die Zukunft; was bis dahin auf Grundlage Ihrer Einwilligung verarbeitet wurde, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO).

Die Schriften dieser Website liegen auf unserem eigenen Server und werden nicht von fremden Anbietern nachgeladen. Beim Aufruf einer Seite wird Ihre IP-Adresse deshalb nicht an Google oder einen anderen Schriftenanbieter übermittelt. Ein Cookie oder eine Einwilligung braucht es dafür nicht.

Wenn Sie das Formular ausfüllen, verarbeiten wir die Angaben, die Sie dort machen: Name, E-Mail-Adresse, Telefonnummer, Postleitzahl sowie Ihre Angaben zum Projekt. Wir brauchen sie, um Ihre Anfrage zu beantworten. Pflichtfelder sind markiert; alles andere ist freiwillig.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — Maßnahmen vor einem Vertragsschluss auf Ihre Anfrage hin. Fragen Sie etwas, das mit keinem Vertrag zusammenhängt, ist es Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, Ihnen zu antworten.

Die Anfrage wird vom Server per E-Mail an unser Postfach zugestellt und dort gespeichert. Den E-Mail-Dienst betreibt IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland.

Das Formular enthält ein verstecktes Feld, das Menschen nicht sehen. Wird es ausgefüllt, verwerfen wir die Einsendung. So halten wir automatische Einsendungen ab, ohne Daten an einen Dienst wie reCAPTCHA weiterzugeben.

Speicherdauer. Kommt kein Auftrag zustande, löschen wir die Anfrage spätestens zwei Jahre nach dem letzten Kontakt. Kommt ein Auftrag zustande, wird die Anfrage Teil der Auftragsunterlagen; die bewahren wir so lange auf, wie das Steuerrecht es verlangt (§ 147 AO: sechs Jahre für Geschäftsbriefe, acht Jahre für Buchungsbelege, zehn Jahre für Bücher und Aufzeichnungen). Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO.

Schreiben Sie uns eine E-Mail oder rufen Sie an, verarbeiten wir Ihre Kontaktdaten und den Inhalt, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anfrage oder Vertrag) oder Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Ihnen zu antworten). E-Mails bewahren wir so lange auf wie Formularanfragen: zwei Jahre nach dem letzten Kontakt, bei Aufträgen nach den steuerrechtlichen Fristen (siehe «Speicherdauer»). Unser Postfach liegt bei IONOS SE.

Eine unverschlüsselte E-Mail ist unterwegs so vertraulich wie eine Postkarte. Vertrauliches besprechen Sie besser am Telefon.

WhatsApp. Der WhatsApp-Knopf auf dieser Website ist ein gewöhnlicher Link. Erst wenn Sie ihn anklicken, öffnet sich WhatsApp, und erst dann fließen Daten — an die WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland, ein Unternehmen der Meta-Gruppe. WhatsApp verarbeitet dabei Ihre Telefonnummer, Ihre Nachricht und technische Daten nach seiner eigenen Datenschutzerklärung, auch auf Servern in den USA; die Meta Platforms, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Inhalte Ihrer Nachrichten an uns sind Ende-zu-Ende-verschlüsselt. Wer WhatsApp nicht nutzen möchte, erreicht uns per E-Mail oder Telefon. Für die Bearbeitung Ihrer Nachricht bei uns gilt dieselbe Rechtsgrundlage wie oben.

Auf dieser Website verweisen wir auf unsere Profile in sozialen Netzwerken. Das sind gewöhnliche Links, keine eingebetteten Schaltflächen: Beim bloßen Aufruf unserer Seiten fließen keine Daten an diese Netzwerke. Erst wenn Sie klicken, verlässt Ihr Browser unsere Website — ab dann gilt die Datenschutzerklärung des jeweiligen Anbieters:

• Instagram: Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland — privacycenter.instagram.com/policy

Was Sie dort tun, sehen wir nur, soweit das Netzwerk es uns als Betreiber des Profils anzeigt — etwa Kommentare oder Nachrichten an uns.

Wir möchten wissen, welche Seiten gelesen werden und über welchen Weg jemand zu uns findet. Dafür verwenden wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Mess-ID G-GGMVDZPMTL).

Vor Ihrer Einwilligung wird dabei nichts geladen und nichts übertragen. Solange Sie im Hinweis nicht auf «Einverstanden» geklickt haben, steht auf dieser Seite kein Google-Skript, und es geht keine Anfrage an einen Google-Server. Lehnen Sie ab oder klicken Sie gar nichts, bleibt es dabei — auch auf allen weiteren Seiten, die Sie hier aufrufen.

Stimmen Sie zu, wird das Messskript nachgeladen. Google setzt dann Cookies (unter anderem «_ga», Laufzeit bis zu zwei Jahre) und verarbeitet die aufgerufenen Seiten, Zeitpunkt und Dauer des Besuchs, die Herkunftsseite sowie ungefähre Angaben zu Gerät, Browser und Region. Ihre IP-Adresse nutzt Google nach eigenen Angaben bei Zugriffen aus der EU nur, um den ungefähren Standort abzuleiten, und löscht sie danach sofort; die Erhebung läuft über Server in der EU. Eine anschließende Übermittlung an die Google LLC in den USA lässt sich nicht ausschließen. Die Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert, das die Europäische Kommission mit Beschluss vom 10. Juli 2023 anerkannt hat; das Gericht der Europäischen Union hat eine Klage gegen diesen Beschluss am 3. September 2025 abgewiesen, ein Rechtsmittel beim Gerichtshof ist anhängig. Zusätzlich sind mit Google die Standardvertragsklauseln der Europäischen Kommission vereinbart; sie greifen, falls der Beschluss entfällt. Näheres unter «Datenübermittlung in Drittländer».

Wir haben die Werbefunktionen abgeschaltet: keine Google-Signale, keine Personalisierung von Werbung, keine Verknüpfung mit Google Ads. Aufbewahrung bei Google: 14 Monate, danach werden die Daten gelöscht.

Rechtsgrundlage für das Speichern und Auslesen von Informationen auf Ihrem Gerät ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO — in beiden Fällen Ihre Einwilligung.

Sie können die Einwilligung jederzeit für die Zukunft zurücknehmen: Einwilligung widerrufen. Der Hinweis erscheint dann erneut, und bis zu einer neuen Zustimmung wird wieder nichts geladen.

Einige der oben beschriebenen Dienste haben ihren Sitz oder ihre Server in den USA. Die DSGVO erlaubt eine Übermittlung dorthin, wenn ein Angemessenheitsbeschluss der Europäischen Kommission greift (Art. 45 DSGVO) oder geeignete Garantien vorliegen (Art. 46 DSGVO).

EU-U.S. Data Privacy Framework. Mit Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 hat die Kommission festgestellt, dass US-Unternehmen, die sich nach dem Data Privacy Framework (DPF) zertifiziert haben, ein angemessenes Schutzniveau bieten. Die in dieser Erklärung genannten US-Anbieter sind nach dem DPF zertifiziert; die Liste führt das US-Handelsministerium unter dataprivacyframework.gov. Das Gericht der Europäischen Union hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23, Latombe/Kommission); ein Rechtsmittel beim Gerichtshof ist anhängig (C-703/25 P). Bis zu einer anderslautenden Entscheidung gilt der Beschluss.

Standardvertragsklauseln. Zusätzlich haben die genannten Anbieter in ihren Datenverarbeitungsbedingungen die Standardvertragsklauseln der Kommission vereinbart (Durchführungsbeschluss (EU) 2021/914; Art. 46 Abs. 2 lit. c DSGVO). Sie greifen, falls der Angemessenheitsbeschluss wegfällt oder ein Anbieter seine Zertifizierung verliert.

Schweiz. Unsere technische Betreuerin, die WinWebDesign GmbH, sitzt in der Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss (Entscheidung 2000/518/EG), den die Kommission mit Bericht vom 15. Januar 2024 bestätigt hat — siehe «Technische Betreuung».

Sie haben das Recht, eine Kopie der jeweiligen Garantien zu erhalten. Schreiben Sie uns.

Wir schützen Ihre Daten mit technischen und organisatorischen Maßnahmen (Art. 32 DSGVO):

Verschlüsselte Übertragung

Die Website wird nur über HTTPS (TLS) ausgeliefert.

Zugriffsbeschränkung

Auf Server, Verwaltungsbereich und Postfächer haben nur die Personen Zugriff, die sie für ihre Arbeit brauchen — bei uns und bei der WinWebDesign GmbH —, jeweils mit eigenen Zugangsdaten.

Auftragsverarbeitung nach Weisung

Dienstleister, die Daten für uns verarbeiten, sind vertraglich gebunden (Art. 28 DSGVO).

Sicherungskopien

Von der Website werden regelmäßig Sicherungskopien angelegt, damit Daten bei einem Ausfall nicht verloren gehen.

Keine Übertragung über das Internet ist vollständig sicher. Was Sie uns per E-Mail schicken, ist unterwegs so vertraulich wie eine Postkarte; Vertrauliches besprechen Sie besser am Telefon.

Läuft eine Frist ab, löschen wir die Daten oder anonymisieren sie. Gesetzliche Aufbewahrungspflichten gehen vor; solange sie laufen, schränken wir die Verarbeitung ein, statt zu löschen.

Sie haben uns gegenüber folgende Rechte:

• Art. 15 DSGVO

  Auskunft

  welche Daten wir über Sie verarbeiten, wofür, wie lange, an wen sie gehen — und eine Kopie davon.

• Art. 16 DSGVO

  Berichtigung

  unrichtige Daten korrigieren, unvollständige ergänzen.

• Art. 17 DSGVO

  Löschung

  sobald der Zweck entfällt oder Sie die Einwilligung widerrufen — außer eine Aufbewahrungspflicht steht entgegen.

• Art. 18 DSGVO

  Einschränkung der Verarbeitung

  etwa solange wir eine bestrittene Richtigkeit prüfen.

• Art. 20 DSGVO

  Datenübertragbarkeit

  Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags gegeben haben, in einem gängigen, maschinenlesbaren Format.

• Art. 7 Abs. 3 DSGVO

  Widerruf einer Einwilligung

  jederzeit, mit Wirkung für die Zukunft; die Verarbeitung bis zum Widerruf bleibt rechtmäßig. Für Cookies und Dienste auf dieser Website: Einwilligung widerrufen.

• Art. 21 DSGVO

  Widerspruch

  siehe den eigenen Abschnitt oben.

Wenden Sie sich dafür an [email protected]. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Haben wir Zweifel, ob die Anfrage von Ihnen stammt, fragen wir nach — damit Ihre Daten nicht bei jemand anderem landen.

Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat, in dem Sie wohnen oder arbeiten oder in dem der mutmaßliche Verstoß passiert ist. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf (Postanschrift: Postfach 20 04 44, 40102 Düsseldorf)
https://www.ldi.nrw.de

Wir passen diese Erklärung an, wenn sich die Website, die eingesetzten Dienste oder das Recht ändern. Es gilt die Fassung, die hier veröffentlicht ist. Ändert sich etwas Wesentliches — etwa ein neuer Dienst, der Daten an Dritte gibt — erkennen Sie das am neuen Stand-Datum.

Stand: 23. September 2026

Fragen zu dieser Erklärung oder zu Ihren Daten beantwortet Michael Sures, Distelrather Str. 23, 52351 Düren — per E-Mail an [email protected] oder telefonisch unter 0152 58968163.