Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Sebastian Lindner
holzlindner – Schreinerei & Objektbau
Schleusenweg 1
93309 Kelheim
Telefon: 0160 1711476
E-Mail: info@holz-lindner.de

Als kleiner Handwerksbetrieb sind wir nicht dazu verpflichtet, einen betrieblichen Datenschutzbeauftragten zu bestellen.

2. Hosting und Server-Logfiles

Diese Website wird über die Infrastruktur von Cloudflare ausgeliefert (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA; für Anfragen aus Deutschland zusätzlich erreichbar über Cloudflare Germany GmbH, c/o Design Offices München Atlas, Rosenheimer Straße 143C, 81671 München). Beim Aufruf der Website verarbeitet Cloudflare automatisch technisch notwendige Daten, die Ihr Browser übermittelt. Dazu gehören insbesondere die IP-Adresse, Datum und Uhrzeit der Anfrage, die abgerufene Datei, die Referrer-URL sowie Browser und Betriebssystem (Server-Logfiles). Diese Daten sind zur Auslieferung der Website und zur Gewährleistung der Systemsicherheit erforderlich. Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen, sicheren Bereitstellung der Website gemäß Art. 6 Abs. 1 lit. f DSGVO.

Cloudflare, Inc. hat ihren Sitz in den USA, sodass mit der Verarbeitung der Server-Logfiles eine Übermittlung von Daten in die USA verbunden ist. Nach eigenen Angaben stützt sich Cloudflare für diese Übermittlung auf seine Zertifizierung unter dem EU-U.S. Data Privacy Framework (DPF) und – sollte diese Zertifizierung entfallen – hilfsweise auf EU-Standardvertragsklauseln. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage von Cloudflares „Data Processing Addendum“. Die genaue Speicherdauer der Server-Logfiles bei Cloudflare können wir an dieser Stelle nicht abschließend beziffern; sie richtet sich nach Cloudflares eigener Datenschutzrichtlinie und dem mit Cloudflare geschlossenen Auftragsverarbeitungsvertrag.

Daneben leiten wir Aufrufe der Adresse ohne „www“ (holz-lindner.de) über einen Webserver unseres Domain- und E-Mail-Anbieters Alfahosting GmbH (Anschrift siehe Ziffer 8) automatisiert auf https://www.holz-lindner.de/ weiter. Dabei fallen auf diesem Alfahosting-Webserver die dort üblichen Server-Logdaten an, unter anderem IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse und Browserkennung. Diese Logdaten werden nur so lange gespeichert, wie es für den technischen Betrieb und die Sicherheit des Webservers erforderlich ist, und danach gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden Weiterleitung auf die aktuelle Website (Art. 6 Abs. 1 lit. f DSGVO); Alfahosting handelt dabei als unser Auftragsverarbeiter auf Grundlage des mit Alfahosting geschlossenen Auftragsverarbeitungsvertrags (Einzelheiten siehe Ziffer 8).

3. Cloudflare Turnstile (Spamschutz beim Kontaktformular)

Auf den beiden Seiten mit Kontaktformular (Startseite und „/kontakt/“) setzen wir Cloudflare Turnstile ein, um das Formular vor automatisiertem Missbrauch durch Spam und Bots zu schützen, ohne Sie mit einem klassischen Captcha (Bilderrätsel) zu belästigen. Auf allen anderen Seiten dieser Website kommt Turnstile nicht zum Einsatz.

Nach Cloudflares eigener Dokumentation wertet Turnstile dafür technische Signale des aufrufenden Geräts aus, unter anderem die IP-Adresse, einen TLS-Fingerabdruck, die User-Agent-Kennung Ihres Browsers sowie den Sitekey und die aufgerufene Domain, um automatisiert einzuschätzen, ob eine Anfrage von einem Menschen oder von einer Bot-Software stammt. Nach Angaben von Cloudflare dienen diese Signale ausschließlich der Erkennung und Abwehr von Bot-Zugriffen und nicht dazu, Sie persönlich zu identifizieren oder ein Nutzungsprofil über Sie zu erstellen.

Rechtsgrundlage für den Einsatz von Turnstile ist unser berechtigtes Interesse an einem wirksamen Schutz unseres Kontaktformulars vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Der damit verbundene Zugriff auf Informationen Ihres Endgeräts ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne gesonderte Einwilligung zulässig, weil er unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Telemediendienst – die Übermittlung Ihrer Anfrage über das Kontaktformular – bereitzustellen.

Anbieter von Turnstile ist Cloudflare (Anschrift siehe Ziffer 2). Weitere Informationen zur Datenverarbeitung durch Turnstile finden Sie in Cloudflares Turnstile-Datenschutzerklärung.

4. Google Analytics 4 und Google Tag Manager (nur mit Ihrer Einwilligung)

Nur wenn Sie im Cookie-Banner der Kategorie „Statistik“ ausdrücklich zustimmen, setzen wir auf dieser Website Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Technisch eingebunden wird Google Analytics 4 über den Google Tag Manager, einen Tag-Verwaltungsdienst desselben Anbieters. Google Analytics erstellt aus Ihrem Nutzungsverhalten eine pseudonyme Statistik, die uns hilft, die Website und unser Angebot zu verbessern.

Google Tag Manager: Der Google Tag Manager lädt bei uns ausschließlich den Google-Analytics-4-Tag nach, sonst nichts. Nach Googles eigener Dokumentation setzt der Tag Manager selbst keine Cookies und erhebt keine personenbezogenen Daten über Besucherinnen und Besucher – die von Google dabei erhobenen, aggregierten Diagnosedaten zur Tag-Auslösung enthalten laut Google weder IP-Adressen noch Mess-IDs, die einer bestimmten Person zugeordnet werden. Technisch bedingt überträgt Ihr Browser beim Abruf der Tag-Manager-Datei (gtm.js) von Googles Servern dennoch zwangsläufig Ihre IP-Adresse sowie weitere Standard-HTTP-Angaben (z. B. den User-Agent) an Google – wie bei jedem Abruf einer Datei von einem fremden Server. Auch der Google Tag Manager wird bei uns technisch erst geladen, wenn Sie der Statistik-Kategorie zustimmen; vorher geht keine Anfrage angoogletagmanager.com. Wir binden dafür bewusst nicht das vollständige Standard-Snippet von Google ein, das zusätzlich einen <noscript>-Bereich mit einem verborgenen iFrame enthält – dieser würde unabhängig von JavaScript und Einwilligung sofort beim Seitenaufruf laden.

Rechtsgrundlage ist ausschließlich Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG) – sowohl für den Google Tag Manager als auch für den darüber geladenen Google-Analytics-Tag. Ohne Ihre Einwilligung wird weder der Google Tag Manager noch Google Analytics geladen, es werden keine Cookies gesetzt und es findet keinerlei Datenübertragung an Google statt.

Consent Mode: Wir setzen den Google Consent Mode v2 im sogenannten Basic-Modus ein. Der in Deutschland umstrittene „Advanced-Modus“, bei dem bereits vor einer Entscheidung anonymisierte, cookielose Signale an Google gesendet würden, kommt bei uns nicht zum Einsatz. Das bedeutet: Bis Sie der Statistik-Kategorie zustimmen, werden weder der Google Tag Manager noch der Google-Analytics-Code technisch geladen und es geht keinerlei Anfrage an Google. Erst mit Ihrer Einwilligung laden wir den Tag Manager nach, der seinerseits den Google-Analytics-Tag ausliefert.

Cookies: Nach Ihrer Einwilligung setzt der über den Tag Manager geladene Google-Analytics-Tag die Cookies _ga und _ga_<Property-ID>. Laut Googles eigener Dokumentation dient _ga dazu, Besucherinnen und Besucher wiederzuerkennen, _ga_<Property-ID> speichert den aktuellen Sitzungsstatus; beide haben nach Google eine Standardlaufzeit von zwei Jahren. Der Google Tag Manager selbst setzt dabei, wie oben beschrieben, keine eigenen Cookies.

IP-Adressen: Nach eigenen Angaben von Google verarbeitet Google Analytics 4 IP-Adressen nur kurzzeitig zur groben Standortbestimmung (Land, Region, Stadt) und speichert oder protokolliert die IP-Adresse selbst nicht. Eine gesonderte IP-Anonymisierung müssen wir deshalb nicht mehr aktivieren – die entsprechende Einstellung („IP anonymisieren“) gab es nur im Vorgänger Universal Analytics und ist in GA4 nicht mehr vorgesehen.

Speicherdauer bei Google: Wir haben in unserer Google-Analytics-Property die Aufbewahrungsdauer nutzerbezogener Ereignisdaten auf die kürzestmögliche Option von zwei Monaten eingestellt (Google-Standard wäre 14 Monate). Aggregierte, aus einzelnen Ereignissen zusammengefasste Berichte bleiben davon laut Google unberührt. Zusätzlich haben wir „Google-Signale“ deaktiviert und die Datenfreigabe-Einstellungen unseres Kontos auf das notwendige Minimum reduziert.

Keine Google-Ads-Funktionen: Wir nutzen keine Google-Werbeprodukte. Die entsprechenden Einwilligungssignale (ad_storage, ad_user_data, ad_personalization) bleiben deshalb unabhängig von Ihrer Statistik-Wahl immer auf „denied“ gesetzt.

Übermittlung in die USA: Google LLC mit Sitz in den USA verarbeitet Daten auch dort. Google LLC hat sich nach eigenen Angaben dem EU-U.S. Data Privacy Framework (DPF) unterworfen und ist beim US-Handelsministerium entsprechend zertifiziert; hilfsweise stützt sich Google zusätzlich auf EU-Standardvertragsklauseln. Dieselbe Übermittlung und Zertifizierung gilt für die technischen Daten (siehe oben), die beim Laden des Google Tag Managers zwangsläufig anfallen, da Tag Manager und Analytics vom selben Anbieter betrieben werden.

Auftragsverarbeitung: Für den Einsatz von Google Analytics haben wir die „Google Ads Data Processing Terms“ (die zugleich als Auftragsverarbeitungsvertrag nach Art. 28 DSGVO für Google Analytics dienen) im Analytics-Konto zu akzeptieren. Für den Google Tag Manager gilt zusätzlich die „Google Tag Manager Use Policy“ von Google.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Einstellungen“ im Footer widerrufen. Wir setzen dann die Einwilligung technisch auf „verweigert“ zurück, löschen die Cookies _ga und _ga_* aus Ihrem Browser und laden die Seite neu, damit ein bereits geladener Google Tag Manager nicht weiterläuft.

Weitere Informationen erhalten Sie in der Datenschutzerklärung von Google , im Hilfeartikel zu den von Google Analytics verwendeten Cookies und in den Datenschutzbestimmungen des Google Tag Managers.

5. Cookies und Speicher im Browser

Für den Betrieb dieser Website ist ein technisch notwendiger Eintrag in Ihrem Browser-Speicher (localStorage) erforderlich: Unter dem Schlüssel hl-consent-v1 speichern wir, ob Sie der Statistik-Kategorie im Cookie-Banner zugestimmt haben, sowie den Zeitpunkt dieser Entscheidung. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, damit Ihnen nicht bei jedem erneuten Seitenaufruf wieder das Cookie-Banner angezeigt wird, und bedarf deshalb keiner gesonderten Einwilligung.

Ebenfalls ohne Einwilligungspflicht nach § 25 Abs. 2 Nr. 2 TDDDG setzt Cloudflare Turnstile auf den beiden Formularseiten die in Ziffer 3 beschriebenen technischen Signale ein – nach unserem Kenntnisstand ohne dauerhafte Cookies.

Erst wenn Sie der Statistik-Kategorie ausdrücklich zustimmen, setzt Google Analytics zusätzlich die in Ziffer 4 beschriebenen Cookies _ga und _ga_*. Diese Cookies werden ausschließlich auf Grundlage Ihrer Einwilligung gesetzt und lassen sich jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

6. Bewusst wenige externe Dienste

Wir haben uns bewusst dafür entschieden, standardmäßig möglichst wenige externe Dienste einzubinden, um Ihre Daten zu schützen:

• Schriftarten werden ausschließlich vom eigenen Server ausgeliefert, es findet keine Anbindung an Google Fonts oder vergleichbare Dienste statt.
• Es ist keine Google-Maps-Karte eingebettet. Sie finden lediglich einen anklickbaren Link, der erst nach Ihrem Klick zu Google Maps führt – erst dann werden Daten an Google übertragen.
• Es sind keine Social-Media-Plugins auf dieser Website eingebunden.
• Für den technischen Betrieb der Website und die Verarbeitung des Kontaktformulars setzen wir Cloudflare (Hosting, Ausführung der Formular-Funktion, Spamschutz über Turnstile) sowie unseren E-Mail- und Domain-Anbieter Alfahosting (Weiterleitung der Adresse ohne „www“, Zustellung und Speicherung der Formular-E-Mail in unserem eigenen Postfach) ein – Einzelheiten dazu finden Sie in Ziffer 2, 3 und 8.
• Nur mit Ihrer ausdrücklichen Einwilligung binden wir zusätzlich Google Analytics 4 über den Google Tag Manager zur pseudonymen Nutzungsstatistik ein (Ziffer 4) – ohne diese Einwilligung wird kein Analyse-, Marketing- oder Werbedienst geladen.

7. Kontaktaufnahme

Wenn Sie per E-Mail oder Telefon mit uns Kontakt aufnehmen, verarbeiten wir die von Ihnen übermittelten Daten (z. B. Name, Kontaktdaten, Anliegen) ausschließlich zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage der Anbahnung oder Erfüllung eines Vertrags dient, andernfalls Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung Ihrer Anfrage. Ihre Daten werden gelöscht, sobald der Zweck der Kontaktaufnahme entfallen ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. E-Mails, die Sie direkt an uns senden, gehen dabei in unserem Postfach bei unserem E-Mail-Anbieter Alfahosting GmbH ein (siehe Ziffer 8).

8. Kontaktformular

Wenn Sie unser Kontaktformular auf der Startseite oder unter „/kontakt/“ nutzen, verarbeiten wir die von Ihnen dort eingegebenen Daten: Name, E-Mail-Adresse, optional Ihre Telefonnummer, die von Ihnen gewählte Projektart, optional den Ort des Projekts, optional den gewünschten Zeitrahmen sowie Ihren Nachrichtentext. Das Formular verarbeitet ausschließlich diese Textfelder, ein Datei-Upload ist nicht vorgesehen. Bitte übermitteln Sie über das Formular keine besonderen Kategorien personenbezogener Daten (z. B. Angaben zu Ihrer Gesundheit).

Technischer Ablauf: Ihre Eingaben werden von Ihrem Browser über eine verschlüsselte Verbindung an eine sogenannte Cloudflare-Pages-Function unter „/api/kontakt/“ übermittelt. Diese Function läuft auf der Infrastruktur unseres Hosting-Anbieters Cloudflare (siehe Ziffer 2), verarbeitet Ihre Anfrage automatisiert und zustandslos und übermittelt sie anschließend per verschlüsselter SMTP-Verbindung (E-Mail-Versandprotokoll) direkt an unser Postfach bei unserem E-Mail- und Domain-Anbieter Alfahosting GmbH, wo Ihre Nachricht als E-Mail gespeichert wird. Die Function speichert Ihre Formulardaten zu keinem Zeitpunkt dauerhaft; da Cloudflare-Pages-Functions zustandslos arbeiten, findet dort insbesondere keine Zwischenspeicherung von IP-Adressen zur Zählung von Absendeversuchen mehr statt.

Zweck der Verarbeitung ist die Bearbeitung Ihrer Anfrage und die Erstellung eines Angebots. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin, hilfsweise Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der Beantwortung Ihrer Anfrage.

Empfänger: Empfänger Ihrer Daten sind Cloudflare (als Hosting-Anbieter und Betreiber der Formular-Funktion sowie von Turnstile, Anschrift siehe Ziffer 2) und Alfahosting (als unser E-Mail-Anbieter, der die Nachricht in unserem Postfach entgegennimmt und speichert, siehe unten). Beide Anbieter verarbeiten Ihre Daten dabei in unserem Auftrag; mit beiden besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (mit Cloudflare auf Grundlage von dessen „Data Processing Addendum“, mit Alfahosting auf Grundlage des Alfahosting-AV-Vertrags, siehe unten). Zur Übermittlung an Cloudflare in die USA siehe Ziffer 2. Es werden keine Daten an sonstige externe Formular- oder Marketingdienste übermittelt.

Alfahosting: Für die Zustellung und Speicherung der Formular-E-Mail nutzen wir das Postfach unseres E-Mail- und Domain-Anbieters Alfahosting GmbH, Edmund-von-Lippmann-Straße 13-15, 06112 Halle (Saale). Die Cloudflare-Pages-Function übermittelt Ihre Nachricht dazu unmittelbar per verschlüsselter SMTP-Verbindung an dieses Postfach; ein weiterer, außenstehender E-Mail-Versanddienstleister ist nicht zwischengeschaltet. Alfahosting verarbeitet und speichert Ihre Nachricht dabei in unserem Auftrag und tritt insoweit als Auftragsverarbeiter für uns auf; mit Alfahosting haben wir hierfür einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Nach eigenen Angaben von Alfahosting stehen deren Server ausschließlich in Deutschland.

Speicherdauer: Anfragen, aus denen kein Auftrag entsteht, löschen wir aus unserem E-Mail-Postfach, sobald der Zweck der Bearbeitung entfallen ist. Kommt ein Vertrag zustande, gelten für die betreffende Geschäftskorrespondenz die handels- und steuerrechtlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO). Zugehörige Protokolldaten bei Alfahosting werden nur so lange gespeichert, wie es für Betrieb und Sicherheit des Postfachs erforderlich ist; Einzelheiten regelt der Auftragsverarbeitungsvertrag mit Alfahosting.

Spamschutz: Zum Schutz vor missbräuchlicher Nutzung des Formulars setzen wir Cloudflare Turnstile ein (siehe Ziffer 3) sowie serverseitige Plausibilitätsprüfungen der eingegebenen Daten. Eine zusätzliche Begrenzung der Anzahl möglicher Absendeversuche je IP-Adresse erfolgt – sofern eingerichtet – über eine Regel der Cloudflare Web Application Firewall und nicht mehr durch eine Zwischenspeicherung von IP-Adressen im Arbeitsspeicher eines eigenen Servers, da Cloudflare-Pages-Functions keinen eigenen dauerhaften Speicherzustand vorhalten. Über das Kontaktformular kommt weiterhin kein Google reCAPTCHA oder vergleichbarer Dienst zum Einsatz.

Verschlüsselung: Die Übertragung der Formulardaten erfolgt verschlüsselt per TLS.

9. Rechte der betroffenen Person

Ihnen stehen als betroffene Person nach der DSGVO folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Die für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile Ihres Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Stand dieser Erklärung: September 2026.