Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger datenschutzrechtlicher Vorschriften ist die HAGEN® GmbH Planer und Architekten BDA, Geisseestraße 39, 90439 Nürnberg, Deutschland, Telefon +49 911 58 64 9-0, E-Mail info@hagen-architekten.de.

Für Fragen zum Datenschutz können Sie sich zusätzlich an unseren Datenschutzkontakt wenden: Henri Hagen, c/o HAGEN® GmbH Planer und Architekten BDA, Geisseestraße 39, 90439 Nürnberg, Deutschland, E-Mail info@hagen-architekten.de.

Diese Website wird bei Vercel Inc. (USA) gehostet und über eine EU-Serverregion ausgeliefert; die technische Verarbeitung findet damit im Regelfall innerhalb der Europäischen Union statt. Neben dem eigentlichen Website-Hosting nutzen wir bei Vercel auch einen Objektspeicherdienst (Vercel Blob) zur Ablage von Dateien, etwa im Zusammenhang mit Bewerbungen (siehe Ziffer 9).

Mit Vercel besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) nach Art. 28 DSGVO, abrufbar unter vercel.com/legal/dpa. Vercel gibt an, unter dem EU-US Data Privacy Framework (DPF) zertifiziert zu sein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, stabilen und performanten Betrieb unserer Website.

Die für den Betrieb der Website erforderliche Datenbank (insbesondere Bewerbungsdaten, Stellenanzeigen sowie Login- und Protokolldaten des Verwaltungsbereichs) wird bei Neon Inc., 209 Orange Street, Wilmington, DE 19801, USA, betrieben (Dienst „Neon Serverless Postgres"). Die Datenbank liegt in einem Rechenzentrum in Frankfurt am Main (AWS-Region eu-central-1). Mit Neon besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website).

Beim Aufruf unserer Website verarbeitet der Webserver technisch erforderliche Daten, um die Website bereitzustellen, die Systemsicherheit zu gewährleisten und technische Störungen zu analysieren, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene URL, Referrer-URL, Browsertyp und -version, verwendetes Betriebssystem sowie übertragene Datenmenge und HTTP-Statuscode.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und funktionsfähigen Betrieb unserer Website. Server-Logfiles werden nur so lange gespeichert, wie dies für diese Zwecke erforderlich ist, insbesondere zur Aufklärung von Sicherheitsvorfällen.

Zusätzlich erfassen wir aggregiert und ohne IP-Adresse aufgerufene, nicht existierende Adressen (Pfad, Anzahl der Aufrufe, verweisende Domain), um fehlerhafte Verlinkungen zu erkennen und zu korrigieren; diese Daten werden nach 90 Tagen gelöscht.

Für die Pflege der Website betreiben wir einen passwortgeschützten Verwaltungsbereich. Bei der Anmeldung verarbeiten wir E-Mail-Adresse, Passwort (nur als Hash), gegebenenfalls Daten der Zwei-Faktor-Anmeldung sowie Sitzungsdaten (Sitzungskennung, IP-Adresse, Browserkennung); Sitzungen laufen spätestens nach 14 Tagen ab. Anmeldeversuche und sicherheitsrelevante Aktionen im Verwaltungsbereich werden protokolliert (Zeitpunkt, Aktion, Benutzerkonto, IP-Adresse, Browserkennung sowie das aus der IP-Adresse abgeleitete Herkunftsland). IP-Adresse und Browserkennung werden nach 30 Tagen aus dem Protokoll entfernt, das Herkunftsland bleibt bis zur Löschung des jeweiligen Eintrags erhalten, Anmeldeprotokolle nach 90 Tagen und übrige Protokolleinträge nach zwölf Monaten gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor unbefugtem Zugriff).

Unsere Website verwendet ausschließlich technisch notwendige Cookies bzw. vergleichbare Speichertechnologien, etwa zur Sicherstellung grundlegender Funktionen. Für diese ist gemäß § 25 Abs. 2 TDDDG keine Einwilligung erforderlich. Das einzige von uns selbst gesetzte Cookie ist das Widerspruchs-Cookie der Webanalyse, und auch dieses nur, wenn Sie den Widerspruch setzen (siehe Ziffer 5).

Wir setzen keine Marketing-, Tracking- oder Werbe-Cookies ein und binden keine Drittanbieter-Inhalte (z. B. Landkarten, Chat-Widgets, Social-Media-Elemente) ein, die Cookies setzen würden. Einziges Drittanbieter-Element ist das Prüf-Element Cloudflare Turnstile in unseren Formularen (Ziffer 7); es wird erst geladen, wenn Sie beginnen, ein Formular auszufüllen. Ein Cookie-Consent-Banner ist daher nicht erforderlich.

Wir werten die Nutzung unserer Website statistisch mit der Open-Source-Software Matomo aus. Matomo betreiben wir selbst auf einem Server unseres Webhosters in Deutschland (ALL-INKL.COM, Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf), mit dem ein Vertrag zur Auftragsverarbeitung besteht. Daten werden weder an den Hersteller von Matomo noch an sonstige Dritte weitergegeben; eine Übermittlung in Drittländer findet im Rahmen der Webanalyse nicht statt.

Die Erfassung erfolgt auf unserem Server: Ruft Ihr Browser eine Seite ab, übermittelt unser Webserver an Matomo die Adresse der Seite (ohne weitere Parameter außer Kampagnenkennungen und dem Suchbegriff unserer Website-Suche), die zuvor besuchte Seite (Referrer), den Zeitpunkt sowie Angaben, die Ihr Browser bei jeder Anfrage ohnehin mitsendet (IP-Adresse, Browser- und Betriebssystemkennung, Spracheinstellung). Dafür wird auf Ihrem Gerät kein Skript ausgeführt und nichts gespeichert oder ausgelesen. Ebenso erfasst unser Server, ohne die eingegebenen Inhalte, das Absenden des Kontakt- oder Bewerbungsformulars, die Bestätigung einer Bewerbung, einen Kontaktwunsch zu einem Projektdatenblatt, den Abruf unserer Kontaktdatei (vCard), den Aufruf nicht vorhandener Seiten und den Wechsel der Sprache. Links zu LinkedIn, Instagram und zur Wegbeschreibung laufen über eine Weiterleitung auf unserem Server (Adresse /go/…), die den Klick erfasst; die Zielseite erhält von uns dabei keine Angabe, von welcher unserer Seiten Sie kommen. Matomo setzt keine Cookies, legt keine Kennung auf Ihrem Gerät ab und liest keine Gerätemerkmale wie Bildschirmauflösung oder installierte Erweiterungen aus.

Ihre IP-Adresse übermitteln wir an Matomo nur gekürzt (bei IPv4 die ersten zwei Byte, bei IPv6 die ersten 48 Bit); Matomo kürzt sie vor der Speicherung weiter auf das erste Byte bzw. die ersten 24 Bit, sodass kein Rückschluss auf Ihren Anschluss möglich ist. Das ungefähre Herkunftsland und das Bundesland bzw. die Region leitet unser Hosting-Anbieter Vercel (siehe Ziffer 2) bei der Auslieferung der Seite aus der IP-Adresse ab; an Matomo werden nur die Kürzel übermittelt, keine Stadt. Um mehrere Seitenaufrufe eines Besuchs zusammenzufassen, bildet unser Server aus der vollständigen IP-Adresse, der Browserkennung, der Spracheinstellung und dem Datum mit einem geheimen Schlüssel einen Prüfwert, der jeden Tag ein anderer ist, nicht gespeichert wird und sich nicht zurückrechnen lässt; nur dieser Prüfwert geht an Matomo. Wir können Sie daher weder über mehrere Tage noch über andere Websites hinweg wiedererkennen. Wir erstellen keine Nutzerprofile, nutzen keine Besucherprofile und kein Besucherprotokoll in Matomo und setzen keine Heatmaps oder Sitzungsaufzeichnungen ein. Sendet Ihr Browser die Signale „Do Not Track“ oder „Global Privacy Control“, erfassen wir Ihren Besuch nicht.

Erfasst werden damit: aufgerufene Seiten mit der Art der Seite und, bei Projektseiten, dem Projekt und seinen Bauaufgaben (aus der Adresse abgeleitet), Datum und Uhrzeit, verweisende Seite und gegebenenfalls Kampagnenkennungen in der Adresse, Suchbegriffe unserer Website-Suche, Browser, Betriebssystem und Gerätetyp (aus der Browserkennung), Spracheinstellung, Herkunftsland und Bundesland bzw. Region sowie die in Absatz 2 genannten Vorgänge.

Zweck ist, die Nutzung unserer Website in zusammengefasster Form zu verstehen, Fehler und tote Links zu erkennen und unsere Inhalte zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in diesem Zweck. Ihre Interessen sind durch die Kürzung der IP-Adresse, den Verzicht auf Cookies, dauerhafte Kennungen und Profile, die Verarbeitung ausschließlich auf unseren eigenen Servern und die kurze Speicherfrist gewahrt. Die Einzeldaten der Besuche löschen wir nach 180 Tagen; danach bleiben nur zusammengefasste Zahlen, etwa Aufrufe je Seite und Tag.

Sie können dieser Auswertung jederzeit widersprechen (Art. 21 DSGVO), indem Sie den folgenden Schalter setzen. Ihr Widerspruch wird in einem Cookie Ihres Browsers gespeichert, das keine Kennung enthält und ein Jahr gültig ist; diese Speicherung ist zur Umsetzung Ihres Wunsches technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Der Widerspruch wirkt ab der nächsten Seitenanfrage. Löschen Sie die Cookies Ihres Browsers, müssen Sie den Widerspruch erneut setzen. Ohne Cookie widersprechen Sie, indem Ihr Browser „Do Not Track“ oder „Global Privacy Control“ sendet.

Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen eingegebenen Daten (insbesondere Name, E-Mail-Adresse, Telefonnummer, Nachrichtentext sowie optional Ihre Angabe, wie Sie auf uns aufmerksam geworden sind) zur Bearbeitung Ihrer Anfrage und zur Kommunikation mit Ihnen. Die Angabe zur Herkunft ist freiwillig und dient uns ausschließlich zur internen Auswertung, über welche Kanäle Anfragen bei uns eingehen.

Ihre Anfrage wird bis zur Zustellung an unser Postfach, höchstens 30 Tage, gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf die Anbahnung oder Durchführung eines Vertrags gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung und Beantwortung Ihrer Anfrage).

Für den technischen Versand nutzen wir den E-Mail-Dienstleister Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich; EU-Unternehmen). Mit Brevo besteht, soweit erforderlich, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Daten werden gelöscht, sobald sie für die Bearbeitung der Anfrage nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Zum Schutz unserer Formulare (Kontaktformular, Datenblatt-Anfrage, Bewerbungsformular) vor automatisierten Zugriffen und Missbrauch setzen wir den Dienst Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA (Vertragspartner in der EU: Cloudflare Germany GmbH, Rosental 7, 80331 München) ein. Turnstile prüft im Hintergrund anhand technischer Merkmale (u. a. IP-Adresse, Browser- und Geräteinformationen, Interaktionsverhalten mit dem Prüf-Element), ob eine Eingabe von einem Menschen stammt. Nur bei Auffälligkeiten wird eine sichtbare Bestätigung (Checkbox) verlangt. Das Prüf-Element wird erst geladen, sobald Sie ein Formularfeld anwählen; beim bloßen Aufruf der Seite findet keine Verbindung zu Cloudflare statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und missbrauchsfreien Betrieb unserer Website, insbesondere am Schutz vor Spam, automatisiertem Massenversand und Ressourcenmissbrauch). Turnstile setzt keine Cookies zu Werbe- oder seitenübergreifenden Trackingzwecken. Eine Übermittlung in die USA kann stattfinden; Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend bestehen EU-Standardvertragsklauseln (Art. 46 DSGVO).

Darüber hinaus begrenzen wir die Zahl der Anfragen an unsere Formulare und den Datenblatt-Abruf je Absender (Rate-Limiting). Hierzu speichern wir die IP-Adresse zusammen mit einem Zählerstand für die Dauer des jeweiligen Prüffensters; diese Einträge werden automatisiert gelöscht, in der Regel innerhalb von 24 Stunden.

Auf unseren Projektseiten können Sie ein Projektdatenblatt herunterladen. Wenn Sie möchten, dass wir uns zu Ihrer Anfrage bei Ihnen melden, können Sie uns zusätzlich Ihren Namen (optional) und Ihre E-Mail-Adresse hinterlassen. In diesem Fall verarbeiten wir diese Angaben, um mit Ihnen zu Ihrer Anfrage Kontakt aufzunehmen (Versand über Brevo, siehe Ziffer 6). Ihre Angaben werden spätestens 30 Tage nach Eingang gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen auf Ihre Anfrage hin) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Interessenten-Anfragen). Die Daten werden gelöscht, sobald sie für die Bearbeitung Ihrer Anfrage nicht mehr erforderlich sind.

Wenn Sie sich bei uns bewerben, verarbeiten wir die im Rahmen Ihrer Bewerbung übermittelten Daten (z. B. Kontaktdaten, Anschreiben, Lebenslauf, Zeugnisse) zur Durchführung des Bewerbungsverfahrens und zur Entscheidung über die Begründung eines Beschäftigungsverhältnisses.

Nach dem Absenden Ihrer Bewerbung erhalten Sie eine E-Mail mit der Bitte, Ihre E-Mail-Adresse über einen Bestätigungslink zu bestätigen (Double-Opt-in). Erst nach dieser Bestätigung wird Ihre Bewerbung an uns weitergeleitet und im Bewerbungsprozess berücksichtigt. Nicht bestätigte Bewerbungen werden nach 72 Stunden automatisch und vollständig gelöscht (einschließlich hochgeladener Dateien).

Soweit Sie im Rahmen Ihrer Bewerbung Dateien hochladen (z. B. Lebenslauf, Anschreiben, Zeugnisse), werden diese in einem privaten, nicht öffentlich zugänglichen Objektspeicher (Vercel Blob, Serverregion Frankfurt am Main) bei unserem Hosting-Anbieter Vercel Inc. (USA) gespeichert und dabei verschlüsselt (AES-256) abgelegt. Der Zugriff auf hochgeladene Dateien ist ausschließlich befugten Mitarbeitenden über eine authentifizierte, passwortgeschützte Admin-Oberfläche möglich; eine öffentliche Verlinkung oder Einsehbarkeit der Dateien besteht nicht. Die Dateien werden automatisiert nach Maßgabe der in dieser Ziffer genannten Löschfristen entfernt. Zur Drittlandübermittlung im Zusammenhang mit diesem Anbieter siehe Ziffer 11.

Das Bewerbungsformular ist durch Cloudflare Turnstile geschützt (siehe Ziffer 7).

Für den Versand der Bestätigungs-E-Mail an Sie sowie der internen Benachrichtigung über den Eingang einer bestätigten Bewerbung nutzen wir den E-Mail-Dienst Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris, Frankreich — Anschrift wie in Ziffer 6). Übermittelt werden dabei Ihr Name und Ihre E-Mail-Adresse sowie in der internen Benachrichtigung Ihre Kontaktdaten und die Angaben aus dem Bewerbungsformular; hochgeladene Dateien werden nicht per E-Mail versandt. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung; die Verarbeitung erfolgt auf Servern in der Europäischen Union.

Rechtsgrundlage ist § 26 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO. Ihre Bewerbungsdaten werden grundsätzlich gelöscht, sobald sie für die Entscheidung über die Bewerbung nicht mehr erforderlich sind, spätestens sechs Monate nach Abschluss des Bewerbungsverfahrens, sofern keine längere Aufbewahrung wegen laufender oder drohender Rechtsstreitigkeiten (insbesondere nach dem Allgemeinen Gleichbehandlungsgesetz) erforderlich ist.

Möchten wir Ihre Bewerbung über die konkrete Stelle hinaus für zukünftige Vakanzen in einem Bewerber-Pool vorhalten, holen wir hierfür Ihre gesonderte, aktive Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung ist freiwillig, unabhängig von der eigentlichen Bewerbung und jederzeit mit Wirkung für die Zukunft widerrufbar. Haben Sie zugestimmt, speichern wir Ihre Bewerbungsdaten für zwölf Monate ab Ihrer Einwilligung bzw. ab Abschluss des Bewerbungsverfahrens; anschließend werden sie automatisch gelöscht. Die Löschung umfasst jeweils auch die hochgeladenen Dateien.

Zur einheitlichen Darstellung von Schriftarten binden wir Webfonts ausschließlich lokal von unserem eigenen Server ein (Self-Hosting). Es findet keine Verbindung zu Servern Dritter, insbesondere nicht zu Google Fonts, statt; es werden dabei keine Daten an externe Schriftanbieter übermittelt.

Soweit im Rahmen des Hostings und der Objektspeicherung (u. a. für Bewerbungsunterlagen, siehe Ziffer 9) bei Vercel Inc. eine Verarbeitung außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, insbesondere in den USA, nicht ausgeschlossen werden kann, erfolgt dies auf Grundlage geeigneter Garantien, insbesondere des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln nach Art. 46 DSGVO.

Entsprechendes gilt für den Einsatz von Cloudflare Turnstile (siehe Ziffer 7) und die verschlüsselte Speicherung von Datenbanksicherungen bei GitHub (siehe Ziffer 12): Beide Anbieter sind unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend kommen EU-Standardvertragsklauseln zum Einsatz.

Auch bei unserem Datenbank-Anbieter Neon Inc. (siehe Ziffer 2) handelt es sich um ein US-amerikanisches Unternehmen; die tatsächliche Datenverarbeitung findet jedoch in einem Rechenzentrum in Frankfurt am Main statt, und es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Der E-Mail-Versand über Brevo (Sendinblue SAS, siehe Ziffern 6 und 9) erfolgt dagegen durch ein Unternehmen mit Sitz in Frankreich und auf Servern innerhalb der Europäischen Union — insoweit findet keine Drittlandübermittlung statt.

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Verarbeitungszwecke erforderlich ist, eine Einwilligung besteht oder gesetzliche Aufbewahrungspflichten bzw. berechtigte Interessen eine weitere Speicherung rechtfertigen. Nach Wegfall des Verarbeitungszwecks und Ablauf etwaiger Aufbewahrungsfristen werden die Daten gelöscht oder anonymisiert.

Zur Ausfallsicherheit erstellen wir täglich verschlüsselte Sicherungskopien unserer Bewerbungsdatenbank (AES-256-Verschlüsselung). Diese Sicherungen werden für höchstens 14 Tage bei GitHub, Inc. (einem Unternehmen der Microsoft Corporation, USA) gespeichert und danach automatisch gelöscht. Die Löschung von Daten aus dem laufenden System (siehe Ziffer 9) wirkt sich damit spätestens nach Ablauf dieses Sicherungszeitraums auch auf alle Sicherungskopien aus. GitHub ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Die veröffentlichten Inhalte der Website (Texte, Projektbeschreibungen, Bilder) werden als Quellcode bei GitHub, Inc. verwaltet. Personenbezogene Daten von Website-Besuchern oder Bewerbern werden dort nicht gespeichert; Veröffentlichungen aus dem Verwaltungsbereich werden mit der E-Mail-Adresse des jeweils veröffentlichenden Mitarbeitenden gekennzeichnet.

Recht auf Auskunft: Sie haben das Recht, Auskunft über die von uns zu Ihrer Person verarbeiteten Daten sowie die weiteren Informationen nach Art. 15 DSGVO zu verlangen.

Recht auf Berichtigung: Sie haben das Recht, die Berichtigung unrichtiger und die Vervollständigung unvollständiger personenbezogener Daten nach Art. 16 DSGVO zu verlangen.

Recht auf Löschung: Sie haben nach Maßgabe des Art. 17 DSGVO das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen.

Recht auf Einschränkung der Verarbeitung: Sie haben nach Maßgabe des Art. 18 DSGVO das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Recht auf Datenübertragbarkeit: Sie haben nach Maßgabe des Art. 20 DSGVO das Recht, die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Recht auf Widerspruch: Sie haben nach Maßgabe des Art. 21 DSGVO das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen eine auf Art. 6 Abs. 1 lit. f DSGVO gestützte Verarbeitung Widerspruch einzulegen.

Recht auf Widerruf einer Einwilligung: Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet durch uns nicht statt.

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen datenschutzrechtliche Vorschriften verstößt. Für uns zuständig ist regelmäßig das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, E-Mail poststelle@lda.bayern.de.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die Rechtslage, unsere Website, die eingesetzten Dienste oder unsere Datenverarbeitungsprozesse ändern. Es gilt jeweils die auf unserer Website veröffentlichte aktuelle Fassung.