Datenschutzhinweise

Stand: 2026-09

1. Verantwortlicher

Nico Rohmfeld, Geschäftsbezeichnung „Denkmal-AfA Studio“, Martin-Stähle-Straße 23, 74889 Sinsheim, E-Mail nico.rohmfeld@denkmalafastudio.de.

Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine Pflicht besteht (Art. 37 DSGVO, § 38 BDSG).

2. Welche Daten wir verarbeiten

  • Konto: Name, geschäftliche E-Mail, Firma, Rolle, Anmeldezeitpunkte, Zustimmungen zu Rechtstexten mit Zeitpunkt und Version.
  • Abrechnung: Rechnungsanschrift, USt-IdNr., Zahlungsstatus. Zahlungsdaten selbst verarbeitet ausschließlich unser Zahlungsdienstleister.
  • Inhalte im Auftrag unserer Nutzer: Projektdaten, Kaufpreise, Steuerangaben, Rechnungen, Fotos. Hier sind wir Auftragsverarbeiter; es gilt der Vertrag zur Auftragsverarbeitung.
  • Technisch notwendig: Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Seite) für höchstens 14 Tage zur Sicherheit.
  • Nicht erhoben: Wir verwenden keine Analyse- oder Werbedienste. Schriften und Programmbibliotheken werden von unserem eigenen Server geladen; beim Aufruf der Website werden keine Daten an Dritte wie Google-Fonts- oder CDN-Anbieter übertragen.

3. Zwecke und Rechtsgrundlagen

  • Bereitstellung des Kontos und der Software: Art. 6 Abs. 1 lit. b DSGVO
  • Abrechnung und steuerliche Aufbewahrung: Art. 6 Abs. 1 lit. b und c DSGVO
  • Sicherheit und Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO

4. Empfänger

  • Hosting der Website und Serverfunktionen: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Serverfunktionen laufen in der Region Frankfurt am Main (fra1); Auslieferung über das weltweite Netz von Vercel. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gilt der Auftragsverarbeitungsvertrag von Vercel.
  • Anmeldung, Datenbank und Dateispeicher: Supabase, Inc., Delaware, USA. Speicherung in der Region Frankfurt am Main (AWS eu-central-1). Grundlage: Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln.
  • Zahlungsabwicklung: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, für Zahlungsdaten als eigenständig Verantwortlicher.
  • E-Mail-Versand (Bestätigung, Passwort, Einladung, Benachrichtigung über Support-Anfragen): Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland, als Auftragsverarbeiter; Versand über Supabase.

Soweit ein Empfänger Daten in einem Drittland verarbeitet, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss (Art. 45 DSGVO, EU-US Data Privacy Framework) oder Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Prüfung von Passwörtern: Bei Registrierung und Passwortänderung prüfen wir, ob das gewählte Passwort in bekannten Datenlecks vorkommt. Dazu übermittelt unser Server nur die ersten fünf Zeichen des SHA-1-Prüfwerts an den Dienst „Pwned Passwords“ (Have I Been Pwned, betrieben über Cloudflare). Das Passwort selbst, Ihre E-Mail-Adresse und Ihre IP-Adresse werden nicht übermittelt; aus den fünf Zeichen lässt sich das Passwort nicht ableiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos) und Art. 32 DSGVO.

Support-Anfragen: Wenn Sie uns über das Formular unter „Hilfe und Kontakt“ schreiben, speichern wir Name, E-Mail-Adresse, Firma, Thema, Nachricht, die aufgerufene Seite und, falls Sie angemeldet sind, die Zuordnung zu Ihrem Konto. Wir nutzen die Angaben nur zur Bearbeitung Ihrer Anfrage und löschen sie spätestens zwei Jahre nach Abschluss, soweit keine Aufbewahrungspflicht besteht. Die Benachrichtigung an uns wird über Brevo (Brevo GmbH, Berlin) versendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Kunden und im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

5. Cookies

Wir setzen nur technisch notwendige Cookies, um Sie nach der Anmeldung angemeldet zu halten (Sitzungs-Cookies von Supabase, § 25 Abs. 2 Nr. 2 TDDDG). Im Werkzeug speichert Ihr Browser außerdem Ansichtseinstellungen (zuletzt geöffnetes Projekt und Bereich) im lokalen Speicher. Es gibt kein Tracking und keine Werbung; ein Cookie-Banner ist daher nicht erforderlich.

6. Speicherdauer

Kontodaten bis zum Vertragsende plus 30 Tage für den Export; Abrechnungsdaten nach den gesetzlichen Fristen (bis zu 10 Jahre).

7. Besondere Hinweise für Inhalte unserer Nutzer

Nutzer können im Werkzeug Angaben ihrer Kunden erfassen, etwa Kaufpreis, zu versteuerndes Einkommen oder Kirchensteuersatz. Der Kirchensteuersatz kann Rückschlüsse auf die Religionszugehörigkeit zulassen (Art. 9 DSGVO); das Feld ist freiwillig. Verantwortlich für diese Daten ist der jeweilige Nutzer; wir verarbeiten sie nur in seinem Auftrag.

8. Ihre Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch sowie Beschwerde bei einer Datenschutzaufsichtsbehörde.