Datenschutz

1. Einleitung

Ich führe mein Designbüro und diese Website (https://leomuehlfeld.at) von Wien aus, in Österreich (EU), und nehme den Schutz Ihrer Daten ernst. Diese Erklärung sagt Ihnen, welche personenbezogenen Daten beim Besuch dieser Seite verarbeitet werden, auf welcher Rechtsgrundlage, wer sie erhält und welche Rechte Ihnen die Datenschutz-Grundverordnung (DSGVO) gibt. Sie gilt für diese Website – die Plattformen, auf die ich verlinke, haben ihre eigenen Erklärungen.

2. Verantwortlich

Für die Verarbeitung personenbezogener Daten auf dieser Website bin ich verantwortlich. Die Adresse unten erreicht mich direkt; einen Datenschutzbeauftragten gibt es nicht, weil für ein Büro dieser Größe keiner vorgeschrieben ist.

3. Welche Daten ich verarbeite

3.1. Nutzungsdaten (Server-Logdateien)

Die Website läuft auf Servern von Vercel Inc. Bei jedem Aufruf speichert Vercel automatisch bestimmte Informationen in Server-Logdateien:

1. Zeitpunkt des Besuchs
2. Route
3. URL
4. Referrer
5. Browsertyp und -version
6. Netzwerkgeschwindigkeit
7. Betriebssystem und Version
8. Gerätetyp
9. Land (ISO 3166-1 alpha-2)
10. Web Vital
11. Web Vital Attribution
12. SDK-Informationen
13. Server-Ereigniszeit

Diese Logdateien halten die Seite in Betrieb, stabil und sicher und machen Fehler nachvollziehbar – für mich und für Vercel als meinen Auftragsverarbeiter. Rechtsgrundlage ist mein berechtigtes Interesse an einer funktionierenden Website (Art. 6 Abs. 1 lit. f DSGVO). Die Daten dienen nicht dazu, Sie zu identifizieren, und werden mit nichts anderem zusammengeführt.

Wohin die Daten gehen und wie sie abgesichert sind, steht in Abschnitt 9. Die eigene Praxis von Vercel beschreibt deren Privacy Policy.

3.2. Kontaktaufnahme

Wenn Sie mir schreiben – per E-Mail oder über eines der im Footer verlinkten Profile –, verarbeite ich, was Sie mir schicken: Ihren Namen, Ihre E-Mail-Adresse und den Inhalt der Nachricht. Ich verwende das, um Ihnen zu antworten, und für nichts sonst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um ein mögliches Projekt geht, sonst Art. 6 Abs. 1 lit. f DSGVO – mein berechtigtes Interesse daran, Menschen zu antworten, die sich melden. Meine E-Mails liegen bei iCloud+ (Apple). Der Transport ist verschlüsselt, soweit Ihr Provider das unterstützt. Sie müssen mir keine Daten geben – ohne eine Absenderadresse kann ich Ihnen aber nicht antworten.

3.3. Termin vereinbaren

Über die Buttons »Call buchen« können Sie einen Termin bei Cal.com, Inc. (app.cal.com) vereinbaren. Das Buchungsfenster wird erst geladen, wenn Sie auf einen dieser Buttons klicken – vorher hat Cal.com mit dem Besuch dieser Seite nichts zu tun. Ab dem Klick erhält Cal.com Ihre IP-Adresse, Ihre Browserdaten und die aufgerufene Seite und kann im Fenster eigene Cookies setzen. Wenn Sie buchen, verarbeitet Cal.com Ihre Eingaben – Name, E-Mail-Adresse, Zeitzone, gewählten Termin und Ihre Nachricht – und schickt sie mir als Einladung in meinen Apple-Kalender (iCloud).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Sie öffnen das Fenster und buchen auf Ihren Wunsch hin, als Schritt vor einem möglichen Vertrag. Die Cookies im Fenster sind für den Dienst erforderlich, den Sie mit dem Klick ausdrücklich anfordern (§ 165 Abs. 3 TKG 2021). Für die Buchungsdaten ist Cal.com mein Auftragsverarbeiter.

Sie müssen das nicht nutzen. Eine E-Mail an die Adresse oben beginnt dasselbe Gespräch, und nichts auf dieser Seite verlangt ein Konto.

4. Web-Analytics

Ich nutze Vercel Web Analytics von Vercel Inc., um zu sehen, welche Seiten gelesen werden und welche nicht. Das läuft ohne Cookies: Auf Ihrem Gerät wird nichts gespeichert, und es entsteht kein Profil – weder über Websites hinweg noch über die Zeit. Laut Vercel wird aus der Anfrage ein kurzlebiger Hash gebildet, unter anderem aus IP-Adresse und User Agent, damit wiederholte Aufrufe innerhalb eines Tages nicht doppelt zählen; der Hash wird verworfen, die IP-Adresse nicht gespeichert. Was ich sehe, ist aggregiert: Seitenpfade, Referrer, Land, Geräte- und Browserklasse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Ich habe ein berechtigtes Interesse daran zu wissen, ob gelesen wird, was ich veröffentliche – und dafür die Messmethode gewählt, die am wenigsten erhebt.

5. Speed Insights

Ich nutze außerdem Vercel Speed Insights. Das misst, wie schnell Seiten bei echten Besucher·innen tatsächlich laden und reagieren (die Core Web Vitals), und erhebt dafür Zeitwerte aus dem Browser samt Seite, Geräteklasse und Verbindungsart. Cookies setzt es keine, Inhalte erfasst es nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Ich habe ein berechtigtes Interesse an einer Seite, die für die Leute schnell lädt, die sie benutzen – und das lässt sich am eigenen Rechner nicht beurteilen.

6. Eingebettete Videos

Mehrere Projektseiten zeigen Videos, die bei Vimeo.com, Inc. liegen, eine ein Video von YouTube (Google Ireland Limited). Statt des Players steht dort zunächst ein Platzhalter: Solange Sie nicht auf »Video laden« klicken, wird bei keinem der beiden Dienste etwas angefragt.

Erst mit dem Klick wird der Player beim Anbieter angefordert, und Ihre IP-Adresse, Ihre Browserdaten und die Adresse der gerade gelesenen Seite gehen dorthin. Die Vimeo-Player laufen im Do-Not-Track-Modus (»dnt=1«): Vimeo setzt dann keine Tracking-Cookies und nutzt den Aufruf weder für Werbung noch für Profilbildung. Das YouTube-Video läuft über youtube-nocookie.com; nach dem Start kann Google trotzdem Daten in Ihrem Browser speichern. Die Entscheidung wird nicht gespeichert – auf der nächsten Seite fragt der Platzhalter wieder.

Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO; § 165 Abs. 3 TKG 2021). Für die Übermittlung an den Anbieter bin ich mit ihm gemeinsam verantwortlich (Art. 26 DSGVO); was Vimeo bzw. Google danach mit den Daten tun, verantworten sie selbst nach ihren eigenen Datenschutzerklärungen.

7. Schriften

Die Schriften kommen von meiner eigenen Domain. Es wird keine Schrift von Google Fonts oder einem anderen externen Dienst geladen, der Besuch der Seite übermittelt also keine Daten an einen Schriftanbieter.

8. Cookies und lokaler Speicher

Diese Website setzt genau ein eigenes Cookie. Es heißt »NEXT_LOCALE«, enthält nichts als einen Sprachcode (»de« oder »en«) und merkt sich, welche Sprache Sie gewählt haben – oder beim ersten Besuch, welche Ihr Browser verlangt hat –, damit die Seite dabei bleibt. Es ist ein Sitzungs-Cookie und wird gelöscht, wenn Sie den Browser schließen. Es enthält keine Kennung und keine personenbezogenen Daten. Als unbedingt erforderliches Cookie braucht es keine Einwilligung (§ 165 Abs. 3 TKG 2021).

Werbe-, Tracking- oder Profiling-Cookies gibt es hier nicht, und die Analyse oben läuft ohne Cookies. Cookies von Dritten können erst entstehen, wenn Sie selbst ein Video laden (Abschnitt 6) oder das Buchungsfenster öffnen (Abschnitt 3.3).

Sollte ich je ein nicht notwendiges eigenes Cookie einsetzen, aktualisiere ich diese Erklärung und hole vorher Ihre Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO).

9. Empfänger und Übermittlung in Drittländer

Über die oben genannten Anbieter hinaus gebe ich keine personenbezogenen Daten weiter; verkauft oder für Werbung genutzt wird nichts. Die Empfänger sind:

• Vercel Inc. (USA) – Hosting, Web Analytics und Speed Insights, als mein Auftragsverarbeiter.
• Apple Distribution International Ltd. (Irland), mit Apple Inc. (USA) – E-Mail (iCloud+) und Kalender, als mein Auftragsverarbeiter.
• Cal.com, Inc. (USA) – Terminvereinbarung, als Auftragsverarbeiter für das, was Sie bei der Buchung eintragen.
• Vimeo.com, Inc. (USA) – Videowiedergabe nach Ihrem Klick; für die Übermittlung gemeinsam mit mir verantwortlich, danach eigenverantwortlich.
• Google Ireland Limited (Irland), mit Google LLC (USA) – Videowiedergabe nach Ihrem Klick; für die Übermittlung gemeinsam mit mir verantwortlich, danach eigenverantwortlich.

Diese Anbieter verarbeiten Daten auf Infrastruktur, die außerhalb der EU und des EWR liegen kann, vor allem in den USA. Grundlage dieser Übermittlungen sind das EU-US Data Privacy Framework, soweit der Anbieter dort zertifiziert ist, sowie die Standardvertragsklauseln der Europäischen Kommission in den Auftragsverarbeitungsbedingungen der Anbieter. Europäische Behörden haben festgestellt, dass das US-Recht kein mit der DSGVO identisches Schutzniveau bietet, vor allem beim Zugriff durch Behörden – ein Restrisiko bleibt.

10. Speicherdauer

Ich speichere personenbezogene Daten nur so lange, wie der Zweck es verlangt oder das Gesetz es vorschreibt. Server-Logs hält der Hoster nur kurz und rotiert sie dann weg. Analyse- und Performancedaten liegen aggregiert bei Vercel, so lange mein Tarif sie vorhält. Korrespondenz bleibt in meinem Postfach, solange der Austausch läuft; wird ein Projekt daraus, bewahre ich die dazugehörigen Unterlagen sieben Jahre auf, wie es das österreichische Steuerrecht verlangt (§ 132 BAO). Termine, aus denen kein Projekt wird, lösche ich spätestens ein Jahr danach.

11. Datensicherheit

Die Seite wird ausschließlich verschlüsselt ausgeliefert (HTTPS/TLS). Die Systeme, in denen Korrespondenz und Buchungen liegen, sind durch starke Authentifizierung geschützt, die Software wird aktuell gehalten, und die Zahl der Dienste, die überhaupt Zugriff haben, ist bewusst klein – die kürzeste Liste ist die beste Sicherheitsmaßnahme, die ein Büro dieser Größe hat. Ganz ohne Risiko ist keine Übertragung im Internet.

12. Ihre Rechte

Gemäß der DSGVO haben Sie folgende Rechte bezüglich Ihrer personenbezogenen Daten:

1. Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von mir über Sie gespeicherten personenbezogenen Daten verlangen.
2. Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Korrektur unrichtiger personenbezogener Daten verlangen.
3. Recht auf Löschung (Art. 17 DSGVO): Sie können mich unter bestimmten Voraussetzungen auffordern, Ihre personenbezogenen Daten zu löschen.
4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Umständen verlangen, dass ich die Verarbeitung Ihrer personenbezogenen Daten einschränke.
5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
6. Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer personenbezogenen Daten widersprechen, wenn diese auf berechtigten Interessen beruht.
7. Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Wenn die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht: Soweit ich Daten auf Grundlage meines berechtigten Interesses verarbeite (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO). Ich verarbeite die Daten dann nicht mehr, außer ich kann zwingende schutzwürdige Gründe nachweisen.

Automatisierte Entscheidungen oder Profiling im Sinne des Art. 22 DSGVO finden auf dieser Website nicht statt.

Um eines dieser Rechte auszuüben, schreiben Sie mir an die Kontaktdaten aus Abschnitt 2. Das kostet Sie nichts, und ich antworte binnen eines Monats. Sie können sich außerdem bei einer Aufsichtsbehörde beschweren – in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at.

13. Änderungen dieser Datenschutzerklärung

Ich aktualisiere diese Erklärung, wenn sich ändert, was die Seite tut – ein neuer Dienst, ein weggefallener, eine rechtliche Vorgabe. Es gilt die Fassung auf dieser Seite, und das Datum oben ist der Tag, an dem sie in Kraft getreten ist.