Datenschutzerklärung

1. Datenschutz auf einen Blick

hand-off ist eine SaaS-Plattform zur Verwaltung von Kundenprojekten für Webdesigner und kleine Agenturen. Um die Plattform bereitzustellen, verarbeiten wir personenbezogene Daten unserer Nutzer (Agenturen) und deren Endkunden.

Diese Plattform setzt ausschließlich technisch notwendige Cookies zur Authentifizierung. Es findet kein Tracking statt: Keine Analyse-Tools, kein Werbe-Pixel, keine Schriftarten oder Skripte von fremden Servern.

2. Verantwortliche Stelle und Pflichtinformationen

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet. Für diese Plattform ist verantwortlich:

André Marquardt
ADesign – Webdesign & Digital Publishing
Schulstr. 25
26384 Wilhelmshaven
Telefon: 0157 3527 3806
E-Mail: info@adesign-whv.de

3. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt. Bei aktiver Verschlüsselung können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

4. Erhobene Daten auf dieser Plattform

• Account-Daten: Name, E-Mail-Adresse, Passwort (gehasht mit bcrypt), Rolle, optional Telefonnummer und USt-ID
• Agentur-Daten: Name, Slug, optionales Logo und Branding-Farbe
• Kunden-Daten: Name, E-Mail, Firma (optional), zugewiesene Projekte
• Projekt-Daten: Titel, Beschreibung, Status, To-Dos, Fristen
• Nachrichten und Dateien: Kommunikation zwischen Agentur und Kunde zu einem Projekt, inklusive Datei-Anhängen (PDF, Bilder, ZIP, Office-Dokumente)
• Zahlungsdaten: bei Abschluss eines Abos werden Zahlungsdaten direkt von unserem Zahlungsdienstleister Stripe verarbeitet; wir speichern lediglich den Stripe-Kunden-Identifier und Abo-Status
• Audit-Log: Anmeldezeiten, IP-Adresse (gekürzt), Browser-User-Agent — nur zu Sicherheitszwecken
• Server-Logfiles: Browsertyp und -version, Betriebssystem, Referrer-URL, Uhrzeit der Serveranfrage, IP-Adresse (technisch bedingt durch das Hosting)
• Session-Cookies: technisch erforderliche HTTP-only-Cookies zur Authentifizierung (hand-off-session, admin-session)

5. Zwecke und Rechtsgrundlagen der Verarbeitung

Die Verarbeitung erfolgt zur Erbringung unserer Dienstleistung (Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO):

• Bereitstellung der Plattform-Funktionen
• Authentifizierung und Session-Verwaltung
• Kommunikation zwischen Agentur und Endkunde
• E-Mail-Versand (Verifizierung, Magic-Links, Status-Benachrichtigungen)
• Abrechnung von Abonnements
• Sicherheit (Schutz vor Missbrauch, Brute-Force-Angriffen)
• Erfüllung gesetzlicher Aufbewahrungspflichten (HGB, AO, Art. 6 Abs. 1 lit. c DSGVO)

Soweit die Verarbeitung auf unserem berechtigten Interesse beruht (Art. 6 Abs. 1 lit. f DSGVO) — etwa dem Schutz vor Angriffen und der technisch fehlerfreien Bereitstellung der Plattform —, steht Ihnen ein Widerspruchsrecht nach Art. 21 DSGVO zu.

6. Hosting und Empfänger der Daten (Auftragsverarbeiter)

Wir nutzen folgende Auftragsverarbeiter (Art. 28 DSGVO), mit denen entsprechende Auftragsverarbeitungsverträge bestehen:

• Vercel Inc. (Hosting) — Server-Standort Frankfurt am Main, EU. Zertifiziert unter dem EU-US Data Privacy Framework.
• Turso / libSQL (Datenbank) — Server-Standort Frankfurt am Main, EU.
• Resend (E-Mail-Versand für Verifizierungs-Mails, Magic-Links und Status-Benachrichtigungen).
• Stripe Payments Europe Ltd. (Zahlungsabwicklung) — die Zahlungsdaten werden direkt bei Stripe verarbeitet; Stripe ist PCI-DSS-zertifiziert.

Eine darüber hinausgehende Weitergabe Ihrer Daten an Dritte findet nicht statt, insbesondere nicht zum Zweck von Werbung oder Tracking.

7. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald sie für die Zwecke ihrer Erhebung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Account- und Projekt-Daten: bis zur Löschung des Accounts durch die Agentur (Selbstlöschfunktion in den Einstellungen); auf Anforderung zusätzlich per Support
• Rechnungs-/Vertragsunterlagen: 10 Jahre (§ 147 AO, § 257 HGB)
• Audit-Log: 90 Tage
• Sessions: 30 Tage (anschließend automatische Löschung)

8. Ihre Rechte als Betroffener

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf:

• unentgeltliche Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Agenturen können ihre gespeicherten Daten jederzeit über die Export-Funktion in den Plattform-Einstellungen als maschinenlesbare Datei herunterladen (Art. 20 DSGVO).

9. Cookies & Tracking

Wir setzen ausschließlich technisch notwendige Session-Cookies zur Authentifizierung. Es findet kein Tracking durch externe Dienste (z.B. Google Analytics, Meta Pixel) statt. Ein Cookie-Banner ist daher nicht erforderlich.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder Zugriff durch unberechtigte Personen zu schützen:

• Verschlüsselte Datenübertragung (HTTPS/TLS)
• Passwort-Hashing mit bcrypt
• HTTP-only Cookies gegen XSS
• Rate-Limiting gegen Brute-Force-Angriffe
• Sicherheits-Header (Content-Security-Policy, HSTS, X-Frame-Options, etc.)

11. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.