Datenschutzerklärung für gefim.de

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten nach dieser Datenschutzerklärung ist:

GEFIM UG (haftungsbeschränkt)
Neckarstraße 7
38120 Braunschweig
Deutschland
Vertreten durch die Geschäftsführer Marcel Hofmann und Martin Solarczek
Telefon: +49 531 180 540 80
E-Mail: info@gefim.de
Amtsgericht Braunschweig, HRB 211852

Für welche Angebote diese Erklärung gilt

Diese Datenschutzerklärung gilt für die Website gefim.de, für Anfragen, die du uns von hier aus schickst, für unser Gewinnspiel und die Werbe-E-Mails an Teilnehmende, die darin eingewilligt haben (Ziffer 17), für deine Nachrichten und Anrufe an uns per WhatsApp, auch wenn du uns dort direkt schreibst (Ziffer 8), für die Abwicklung von Verträgen mit unseren Kunden (Ziffer 10), für unsere Unternehmensseite und unsere Anzeigen bei LinkedIn (Ziffer 11) und für unsere Seite bei Facebook und unser Profil bei Instagram, einschließlich Anzeigen, die wir dort schalten (Ziffer 12). Für unsere Websites nis2-berater.de, certvia.de und visitvia.de gelten deren eigene Datenschutzinformationen. Folgst du einem Link von dieser Website zu einem fremden Angebot, ist dafür dessen Anbieter verantwortlich, nicht wir.

2. Begriffe in je einem Satz

• Personenbezogene Daten sind alle Angaben, die sich auf dich als bestimmte oder bestimmbare Person beziehen – zum Beispiel dein Name, deine E-Mail-Adresse oder deine IP-Adresse.
• Verarbeitung ist jeder Umgang mit diesen Daten, also auch das bloße Erheben, Speichern, Ansehen, Weitergeben oder Löschen.
• Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet – das sind wir (Ziffer 1).
• Auftragsverarbeiter ist ein Dienstleister, der Daten nur nach unserer Weisung und auf Grundlage eines Vertrags nach Art. 28 DSGVO verarbeitet, etwa unser Hoster.
• Gemeinsam Verantwortliche sind zwei oder mehr Stellen, die Zweck und Mittel einer Verarbeitung zusammen festlegen (Art. 26 DSGVO) – bei uns betrifft das die Statistiken unserer Seiten bei LinkedIn, Facebook und Instagram (Ziffern 11 und 12) und, wenn du einwilligst, das Erheben und Übermitteln deiner Daten an Google über das Google-Tag (Ziffer 18).
• Berechtigtes Interesse ist eine Rechtsgrundlage, bei der wir unsere Interessen gegen deine abwägen müssen und dir ein Widerspruchsrecht zusteht (Ziffer 3).

3. Deine Rechte

Du hast uns gegenüber die folgenden Rechte. Das kostet dich nichts. Wende dich dafür formlos an info@gefim.de oder an die Anschrift in Ziffer 1. Wir antworten innerhalb eines Monats; ist dein Anliegen umfangreich, sagen wir dir Bescheid, wenn es länger dauert.

• Auskunft darüber, ob und welche Daten wir über dich verarbeiten, und über alle näheren Umstände (Art. 15 DSGVO).
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO).
• Löschung deiner Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO).
• Einschränkung der Verarbeitung, wenn du die Richtigkeit bestreitest oder wir die Daten nicht mehr brauchen, du sie aber für Rechtsansprüche benötigst (Art. 18 DSGVO).
• Datenübertragbarkeit: Herausgabe der Daten, die du uns auf Grundlage eines Vertrags oder einer Einwilligung bereitgestellt hast, in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO).
• Widerruf einer Einwilligung mit Wirkung für die Zukunft; was bis dahin geschehen ist, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). Die Einwilligung in die Messung unserer Google-Anzeigen widerrufst du am einfachsten selbst über „Datenschutz-Einstellungen“ unten auf jeder Seite (Ziffern 5 und 18).
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen – siehe den hervorgehobenen Hinweis direkt im Anschluss (Art. 21 DSGVO).

Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn du meinst, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt (Art. 77 DSGVO) – etwa bei der Behörde deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
Postanschrift: Postfach 221, 30002 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Website: www.lfd.niedersachsen.de · Beschwerdeformular: www.lfd.niedersachsen.de/beschwerde

4. Aufruf der Website: Server-Logfiles und Zugriffsstatistik

Wenn du eine Seite von gefim.de aufrufst, übermittelt dein Browser technisch notwendige Daten an den Server. Dieser hält den Vorgang in Protokolldateien fest, den Logfiles. Das geschieht bei jedem Aufruf und lässt sich nicht abschalten, ohne die Seite unbrauchbar zu machen.

Diese Daten werden dabei erfasst:

• die IP-Adresse des anfragenden Geräts (anonymisiert, siehe unten),
• Datum und Uhrzeit des Zugriffs,
• die angeforderte Adresse (URL) und der Name der abgerufenen Datei,
• die übertragene Datenmenge und die Meldung, ob der Abruf erfolgreich war (HTTP-Statuscode),
• der verwendete Browser einschließlich Version und das Betriebssystem,
• die zuvor besuchte Seite (Referrer), sofern dein Browser sie übermittelt.

Zweck. Wir brauchen diese Daten, um die Seiten auszuliefern, technische Störungen zu erkennen und zu beheben und Angriffe auf unsere Systeme zu erkennen und abzuwehren. Außerdem entsteht daraus eine einfache Zugriffsstatistik (siehe unten). Wir werten die Logfiles nicht aus, um dich zu identifizieren, und führen sie nicht mit anderen Datenquellen zusammen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb dieser Website und die Erfüllung unserer Pflichten aus Art. 32 DSGVO; Erwägungsgrund 49 der DSGVO erkennt die Netz- und Informationssicherheit ausdrücklich als berechtigtes Interesse an. Ohne Protokollierung ließe sich ein Angriff weder bemerken noch aufklären.

Speicherdauer und Anonymisierung. Die IP-Adressen werden in den Logfiles anonymisiert gespeichert; ein Rückschluss auf einzelne Personen ist uns damit grundsätzlich nicht möglich. Die Logfiles werden nach 30 Tagen gelöscht. Brauchen wir einzelne Einträge zur Aufklärung eines konkreten Sicherheitsvorfalls, bewahren wir nur diese Einträge bis zur Klärung auf.

Hoster als Auftragsverarbeiter. Diese Website wird betrieben bei:

ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich
Hauptstraße 68
02742 Friedersdorf
Datenschutzinformationen: all-inkl.com/datenschutz

Der Hoster stellt Speicherplatz und Rechenleistung bereit, liefert die Seiten aus, betreibt das Skript, das unser Formular entgegennimmt, versendet die daraus entstehenden E-Mails und erstellt die Zugriffsstatistik. Er verarbeitet die Daten ausschließlich nach unserer Weisung und in einem Rechenzentrum in Deutschland. Mit ihm haben wir einen Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

Einfache Zugriffsstatistik aus den Logfiles

Wir möchten wissen, welche Seiten gelesen werden und ob technisch alles funktioniert. Dafür wertet unser Hoster die Logfiles mit dem Programm Webalizer aus. Es ist bei ihm vorinstalliert und läuft auf seinem Server in Deutschland. Es ist kein Zusatzdienst, den wir eingebunden hätten, und dein Browser verbindet sich dafür mit niemandem sonst.

Datenquelle. Ausgewertet werden nur die oben beschriebenen Logfiles, also genau die Daten, die beim Abruf einer Seite ohnehin anfallen. Zusätzliche Daten werden dafür nicht erhoben. Die IP-Adressen darin sind anonymisiert.

Was die Auswertung zeigt:

• wie oft eine Seite abgerufen wurde und wie viele Anfragen der Server insgesamt beantwortet hat,
• welche Adresse auf uns verwiesen hat (Referrer), soweit dein Browser sie übermittelt,
• welche Browser und Betriebssysteme dabei zum Einsatz kamen,
• zu welchen Zeiten zugegriffen wurde und welche Datenmengen übertragen wurden,
• aus welchen Ländern zugegriffen wurde, soweit erkennbar, welche Suchbegriffe in einer verweisenden Suchmaschinen-Adresse standen und über welche Seiten Besuche begannen und endeten.

Was die Auswertung nicht kann. Weil die IP-Adressen anonymisiert sind, erkennt die Statistik niemanden an seiner IP-Adresse wieder und setzt keinen Verlauf über mehrere Besuche zusammen. Es entstehen keine Nutzerprofile. Dafür werden keine Cookies gesetzt und kein Skript in deinem Browser ausgeführt (Ziffer 5). Mit anderen Datenquellen führen wir die Statistik nicht zusammen. Steht in einer aufgerufenen Adresse eine Klick-Kennung aus einer Anzeige (Ziffer 7), kann sie in der Statistik erscheinen; wir werten sie dort nicht aus und gleichen sie nicht mit unseren Protokoll-E-Mails ab.

Keine Weitergabe. Die Statistik verlässt den Server unseres Hosters nicht. Sie ist passwortgeschützt und nur uns zugänglich; ein Aufruf ohne Zugangsdaten wird abgewiesen. An Dritte geben wir weder die Logfiles noch die Berichte daraus weiter.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Reichweite unserer Inhalte zu verstehen und die Website zu verbessern – etwa zu erkennen, welche Seiten gefunden werden und wo Abrufe ins Leere laufen. Deine Interessen überwiegen nicht, weil dafür keine zusätzlichen Daten erhoben werden, die IP-Adressen anonymisiert sind, wir die Statistik nur zusammengefasst auswerten und keinen Bezug zu einzelnen Personen herstellen und sie den Server unseres Hosters nicht verlässt. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3).

Speicherdauer. Die Logfiles selbst werden nach 30 Tagen gelöscht (siehe oben). Die daraus erzeugten Monatsberichte bewahren wir auf, solange wir sie für den Vergleich über die Zeit brauchen, längstens 24 Monate; danach werden sie gelöscht.

5. Cookies, Einwilligungsbanner und Inhalte Dritter

Ohne deine Einwilligung setzen wir keine Cookies. Solange du nicht zugestimmt hast, speichert diese Website keine Cookies auf deinem Gerät und liest keine aus – außer, um Google-Cookies zu löschen: Klickst du auf „Ablehnen“ oder ist deine Zustimmung abgelaufen, sucht unser Skript nach Cookies, deren Name mit _gcl_ oder _gac_ beginnt, und nach dem Eintrag _gcl_ls, und entfernt sie. Sie legt auch sonst nichts in deinem Browser ab – weder im Local Storage oder Session Storage noch in einer IndexedDB oder über einen Hintergrunddienst (Service Worker) – und liest dort gespeicherte Informationen nicht aus, mit zwei Ausnahmen, die du selbst auslöst: deine Entscheidung im Einwilligungsbanner (gleich unten) und das Ausblenden der Gewinnspiel-Leiste. Auch ob du ein Video anhältst, merkt sich die Seite nicht. Stimmst du der Messung unserer Google-Anzeigen zu, setzt Google Cookies auf gefim.de und legt einen Eintrag im Local Storage ab (Ziffer 18).

Das Einwilligungsbanner und deine Datenschutz-Einstellungen. Kommst du über eine Google-Anzeige – zu erkennen an einer Klick-Kennung von Google in der Adresse –, erscheint unten auf der Seite ein Banner. Es fragt, ob wir messen dürfen, ob dein Klick zu einer Anfrage bei uns führt – welche Anfragen zählen, steht in Ziffer 18. „Ablehnen“ und „Zustimmen“ sind gleich groß und gleich gestaltet; die Einzelheiten kannst du im Banner aufklappen. Solange du nicht entschieden hast, lädt nichts von Google. Allen anderen Besuchern zeigen wir kein Banner, weil für sie nichts geladen wird. Über „Datenschutz-Einstellungen“ unten auf jeder Seite öffnest du das Banner jederzeit wieder, siehst deine aktuelle Wahl und kannst sie ändern oder widerrufen. Ohne JavaScript erscheint kein Banner, und es lädt nichts von Google.

Klickst du im Banner auf „Ablehnen“ oder „Zustimmen“, legt die Seite im Local Storage deines Browsers genau einen Eintrag ab:

• Name und Inhalt: gefim-einwilligung mit der Fassung des Banners (derzeit 2026-11-07), dem Datum und ja oder nein – keine Kennung und keine Angaben über dich;
• Zweck: deine Entscheidung beachten, damit wir dich nicht bei jeder Seite erneut fragen und das Google-Tag nur lädt, wenn du zugestimmt hast;
• Dauer: 6 Monate – auch nach einer Ablehnung. Danach, oder wenn sich das Banner inhaltlich ändert, fragt es neu, sobald du wieder über eine Anzeige kommst;
• keine Übertragung: Der Eintrag wird weder an unseren Server noch an Google geschickt.

Eine Einwilligung nach § 25 Abs. 1 TDDDG holen wir für diesen Eintrag nicht ein: Ihn zu speichern und auszulesen ist nach unserer Einschätzung unbedingt erforderlich, um deine Entscheidung umzusetzen, die du mit dem Klick ausdrücklich triffst (§ 25 Abs. 2 Nr. 2 TDDDG). Personenbezogene Daten verarbeiten wir damit nicht: Der Eintrag enthält keine Kennung, bleibt auf deinem Gerät und erreicht uns nie. Löschen kannst du ihn jederzeit über die Websitedaten für gefim.de in deinem Browser – dann fragt das Banner beim nächsten Besuch über eine Anzeige erneut.

Datenschutz-Einstellungen öffnen

Die zweite Ausnahme: das Ausblenden der Gewinnspiel-Leiste. Bis zum Abbau unseres Gewinnspiels kurz nach dem Ende am 30. November 2026, 23:59 Uhr erscheint auf vielen Seiten unten eine schmale Leiste mit einem Hinweis darauf (Ziffer 17, „Der Hinweis auf dieser Website“). Klickst du dort auf das Kreuz („Gewinnspiel-Leiste ausblenden“), legt die Seite im Session Storage deines Browsers genau einen Eintrag ab:

• Name und Inhalt: gefim-gewinnspiel-leiste mit dem Inhalt „zu“ – sonst nichts, keine Kennung und keine Angaben über dich;
• Zweck: deinen Wunsch umsetzen, die Leiste auszublenden. Auf den folgenden Seiten liest das Skript den Eintrag und zeigt die Leiste deshalb nicht mehr an;
• Dauer: bis du den Browser-Tab schließt – dann verwirft dein Browser den Eintrag von selbst. Er gilt für diesen einen Tab; duplizierst du den Tab oder öffnet dein Browser einen geschlossenen Tab wieder (etwa beim Wiederherstellen der Sitzung), kann er den Eintrag mitnehmen;
• kein Cookie, keine Übertragung: Der Eintrag wird weder an unseren Server noch an andere geschickt.

Eine Einwilligung nach § 25 Abs. 1 TDDDG holen wir dafür nicht ein: Speichern und Auslesen des Eintrags sind nach unserer Einschätzung unbedingt erforderlich, um den Zustand „Leiste aus“ herzustellen, den du mit deinem Klick ausdrücklich wünschst (§ 25 Abs. 2 Nr. 2 TDDDG) – ohne ihn erschiene die Leiste auf der nächsten Seite wieder. Personenbezogene Daten verarbeiten wir damit nicht: Der Eintrag sagt nichts über dich, bleibt auf deinem Gerät und erreicht uns nie. Eine Rechtsgrundlage nach der DSGVO braucht es deshalb nicht. Lässt dein Browser das Speichern nicht zu, gilt das Ausblenden nur für die gerade geöffnete Seite. Selbst löschen kannst du den Eintrag jederzeit, indem du den Tab schließt oder die Websitedaten für gefim.de in deinem Browser löschst.

Was ohne Einwilligung geschieht. Eine Einwilligung nach § 25 Abs. 1 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) ist nötig, wenn Informationen in deiner Endeinrichtung gespeichert oder dort ausgelesen werden und das nicht unbedingt erforderlich ist. Ohne deine Einwilligung legt die Seite nur deine Entscheidung im Banner ab und den Eintrag der Gewinnspiel-Leiste, den du selbst mit dem Kreuz auslöst (oben). Damit die Seiten zu deinem Gerät passen, lesen unsere Skripte sonst nur Werte, die dein Browser jeder Website von sich aus bereitstellt: die Größe des Browserfensters, ob du reduzierte Bewegung eingestellt hast, ob dein Browser Daten sparen soll und wie schnell die Verbindung ungefähr ist (für das Video auf der Startseite), und die Adresse der geöffneten Seite. Das Skript des Einwilligungsbanners liest an der Adresse, ob sie eine Klick-Kennung von Google enthält und – auf der Danke-Seite –, welche Art Anfrage du abgeschickt hast, außerdem deine gespeicherte Entscheidung (oben). Für den Hinweis auf unser Gewinnspiel kommen bis zu seinem Abbau kurz nach dem Ende am 30. November 2026, 23:59 Uhr die Herkunftsseite, die Art des Seitenaufrufs sowie Datum und Uhrzeit deines Geräts dazu – damit er nur einmal je Besuch und nur im Teilnahmezeitraum erscheint (Ziffer 17, „Der Hinweis auf dieser Website“) –, außerdem, ob im Session Storage der Eintrag der Leiste steht (oben, „Die zweite Ausnahme“). Ohne deine Einwilligung wird nichts davon beim Lesen gespeichert oder an uns oder andere geschickt. Dafür ist nach unserer Einschätzung keine Einwilligung nötig, weil diese Werte nur dazu dienen, dir die aufgerufene Seite anzuzeigen und dich dort, wo es nötig ist, um deine Einwilligung zu fragen (§ 25 Abs. 2 Nr. 2 TDDDG). Der Vollständigkeit halber: Dein Browser legt die von uns ausgelieferten Dateien – Schriften, Bilder, Videos, Stylesheets – in seinem eigenen Zwischenspeicher ab. Das ist unbedingt erforderlich, um die angeforderte Seite anzuzeigen, und deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir greifen darauf nicht zu.

Ohne Einwilligung keine Tracking-Skripte, keine fremde Werbung auf dieser Website. Das einzige Skript eines Werbeanbieters ist das Google-Tag zur Erfolgsmessung unserer Anzeigen – und es lädt nur, wenn du zugestimmt hast (Ziffer 18). Auch dann gibt es hier kein Analyseprogramm, keine Zählpixel von LinkedIn („Insight Tag“) oder Meta, keine Profilbildung durch uns, keine Wiedererkennung über Geräteeigenschaften (Fingerprinting), kein Remarketing und keine personalisierte Werbung. Darüber hinaus verfolgen wir dein Verhalten nicht über mehrere Besuche oder Websites hinweg. Einzige Ausnahme, nur mit deiner Einwilligung: Google ordnet eine spätere Anfrage dem Anzeigenklick zu, über den du kamst (Ziffer 18). Auch das Skript für den Hinweis auf unser Gewinnspiel merkt sich nichts über deine Besuche – nur, solange der Browser-Tab offen ist, dass du die Leiste ausgeblendet hast (oben) – und schickt nichts an uns (Ziffer 17).

Davon zu unterscheiden ist die Zugriffsstatistik aus den Server-Logfiles (Ziffer 4): Sie entsteht ohne Cookies und ohne Skript in deinem Browser, allein aus den Daten, die der Server beim Ausliefern der Seiten ohnehin festhält. Die IP-Adressen darin sind anonymisiert, und es entstehen keine Nutzerprofile. Eine Einwilligung nach § 25 TDDDG braucht es dafür nicht, denn dabei wird weder etwas auf deinem Gerät gespeichert noch von dort ausgelesen.

Anzeigen: Rückmeldung an Google nur mit deiner Einwilligung. Wir werben bei Google und LinkedIn; werben wir bei Facebook oder Instagram, gilt dasselbe. Kommst du über eine Anzeige und forderst etwas an, sehen wir an der Herkunftsangabe in der Adresse, von welcher Anzeige du kamst. Diese Angabe steht nur in unserer Protokoll-E-Mail (Ziffer 7, „Woher deine Anfrage kommt“). Wir melden sie nicht an Google, LinkedIn oder Meta zurück. Von LinkedIn und Meta läuft hier kein Skript. Ob ein Klick auf eine Google-Anzeige zu einer Anfrage führt, erfährt Google nur, wenn du im Banner zustimmst – über das Google-Tag, das die Adresse ohne die Herkunftsangabe an Google schickt (Ziffer 18). Der Verarbeitung der Herkunftsangabe bei uns kannst du widersprechen (Ziffer 3).

Keine Inhalte fremder Anbieter. Alle Bestandteile dieser Seiten liegen auf unserem eigenen Server:

• Schriften kommen von unserem Server – keine Verbindung zu Google Fonts oder einem anderen Schriftdienst.
• Bilder, Logos und Symbole liegen ebenfalls bei uns.
• Videos im Seitenkopf spielt der eingebaute Player deines Browsers von unserem Server ab – ohne Videoplattform, ohne Ton und ohne Messung, ob oder wie lange du zusiehst. Mit dem Pause-Knopf hältst du sie an.

Es sind keine Karten, keine Videoplattformen, kein Terminbuchungsdienst, keine Schaltflächen oder Zählpixel sozialer Netzwerke und kein Captcha eingebunden. Unser WhatsApp-Knopf und das Fenster dazu sind eigene Bestandteile dieser Website und keine Schaltfläche von WhatsApp; sie laden nichts von WhatsApp (Ziffer 8). Ohne deine Einwilligung verbindet sich dein Browser beim Aufruf dieser Seiten deshalb nur mit unserem eigenen Server; stimmst du der Messung unserer Google-Anzeigen zu, auf der Ankunftsseite und der Danke-Seite zusätzlich mit Google (Ziffer 18). Abgesichert ist das zusätzlich durch eine strikte Content-Security-Policy (Ziffer 15).

Links auf andere Websites. Wir verlinken unter anderem auf unsere eigenen Angebote (nis2-berater.de, certvia.de, visitvia.de), auf die Websites von Kunden bei den Referenzen, auf Verbände und Behörden und auf LinkedIn und Instagram sowie auf WhatsApp (Ziffer 8). Diese Inhalte sind nicht eingebettet: Eine Verbindung zum anderen Anbieter entsteht erst, wenn du den Link anklickst; ab dann gilt dessen Datenschutzerklärung. Übermittelt wird dabei nur unsere Domain als Herkunft, nicht die Unterseite, auf der du geklickt hast.

6. Anfrage- und Kontaktformular

Über unser Formular kannst du ein Erstgespräch vereinbaren, ein Angebot anfragen oder uns eine Nachricht schicken. Die Formulare auf den Seiten Erstgespräch und Kontakt laufen über dasselbe Skript. Für den TISAX®-Rechner und die Unterlagen, die du per E-Mail anfordern kannst (Workbook, Starterpaket, Broschüre, Checklisten, Notfallplan, Leitfaden), gilt Ziffer 7, für das Gewinnspiel Ziffer 17.

Pflichtangaben: dein Anliegen, dein Name und deine E-Mail-Adresse. Wählst du als Anliegen „Etwas anderes“, brauchen wir zusätzlich eine kurze Nachricht.

Freiwillige Angaben: deine Telefonnummer und deine Nachricht an uns (bis zu 4.000 Zeichen). Öffnest du das Formular über den Knopf „Rückruf anfordern“, kommt ein Rückrufwunsch hinzu; dann brauchen wir auch deine Telefonnummer.

Technisch zusätzlich: der Zeitpunkt des Absendens und die Seite, von der aus du das Formular abgeschickt hast. Hast du das Formular über einen Link von einer unserer Seiten geöffnet, kommen bis zu drei Werte aus diesem Link hinzu: das vorausgewählte Anliegen, die Leistung und die Stelle der Website, von der der Link stammt. Diese Werte stehen sichtbar in der Adresszeile, stammen aus einer festen Liste zulässiger Angaben und enthalten nichts über dich; alles andere verwerfen wir. Möchtest du sie nicht mitsenden, ruf das Formular einfach über das Menü auf.

Zwecke und Rechtsgrundlagen.

• Schickst du die Anfrage für dich selbst, etwa als Einzelunternehmer, und zielt sie auf ein Erstgespräch, ein Angebot oder einen Vertrag, verarbeiten wir deine Daten zur Durchführung vorvertraglicher Maßnahmen auf deine Anfrage hin – Art. 6 Abs. 1 lit. b DSGVO.
• Schickst du sie für ein Unternehmen oder ohne Vertragsbezug, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, an uns gerichtete geschäftliche Anfragen zu beantworten.

Keine Speicherung auf dem Webserver. Deine Angaben werden auf unserem Webserver weder in einer Datenbank noch in einer Datei gespeichert. Das Skript leitet sie unmittelbar als E-Mail an unser Postfach info@gefim.de weiter, wo wir sie bearbeiten (Ziffern 8 und 9). Den Versand übernimmt unser Hoster; als Absender trägt das Skript unsere technische Adresse no-reply@gefim.de ein. Als Antwortadresse setzen wir deine E-Mail-Adresse, damit wir dir direkt antworten können.

Pflicht zur Bereitstellung. Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Ohne die Pflichtangaben können wir deine Anfrage aber nicht bearbeiten; weitere Nachteile entstehen dir nicht. Du kannst uns auch einfach anrufen (Ziffer 1).

Keine Zweckänderung. Wir verwenden deine Anfrage nur, um dein Anliegen zu bearbeiten. Wir tragen dich nicht in einen Werbeverteiler ein. Werbe-E-Mails bekommt von uns nur, wer ausdrücklich darin eingewilligt hat, etwa bei der Teilnahme an unserem Gewinnspiel (Ziffer 17). Speicherdauer: Ziffer 16.

Schutz des Formulars vor Missbrauch

Damit das Formular nicht für automatisierte Massenzusendungen missbraucht wird, setzen wir Maßnahmen ohne Cookies und ohne Auswertung deines Verhaltens ein:

• ein für dich unsichtbares Zusatzfeld, das nur automatisierte Programme ausfüllen;
• eine Prüfung, ob zwischen dem Aufruf des Formulars und dem Absenden mindestens drei Sekunden liegen;
• eine Prüfung, ob die Absendung tatsächlich von einer Seite dieser Website stammt;
• eine Begrenzung auf fünf Absendungen je Absender innerhalb von 15 Minuten. Dafür berechnen wir aus deiner IP-Adresse, einem geheimen Schlüssel und dem Datum einen Prüfwert (SHA-256). Deine IP-Adresse selbst wird dabei nicht gespeichert, nur dieser Prüfwert mit dem Zeitpunkt der Absendung;
• eine Obergrenze für die Zahl der Absendungen je Tag über alle Absender hinweg; dafür zählen wir nur die Absendungen, über dich wird nichts gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist, Formular, Postfach und Website vor Missbrauch zu schützen. Nach 15 Minuten hat ein Prüfwert keine Funktion mehr, spätestens um Mitternacht. Gelöscht wird er automatisch bei einer späteren Nutzung eines unserer Formulare – stichprobenartig und in jedem Fall bei der ersten Nutzung eines neuen Tages. Weil das Datum in die Berechnung eingeht, ergibt dieselbe IP-Adresse jeden Tag einen anderen Prüfwert. Aus dem Prüfwert lässt sich deine IP-Adresse nicht ablesen; mit dem geheimen Schlüssel ließe sich nur für eine bereits bekannte IP-Adresse nachrechnen, ob ein Prüfwert zu ihr gehört. Das tun wir nicht.

Sicherheit der Übertragung

Deine Eingaben gehen verschlüsselt an unseren Server (TLS, erkennbar am Schloss-Symbol deines Browsers). Die anschließende Zustellung an unser Postfach erfolgt per E-Mail; der Transport zwischen Mailservern ist heute regelmäßig verschlüsselt, eine durchgehende Verschlüsselung von deinem Gerät bis in unser Postfach besteht dabei aber nicht.

Schick uns deshalb bitte keine Angaben zu konkreten Sicherheitsvorfällen, Schwachstellen oder Zugangsdaten über das Formular. Bei einem akuten Vorfall ruf uns bitte direkt an: +49 531 180 540 80 (Soforthilfe).

7. TISAX®-Rechner und Unterlagen per E-Mail: Zusendung mit Bestätigung

Acht Angebote auf dieser Website schicken dir etwas per E-Mail – erst nachdem du deine E-Mail-Adresse bestätigt hast (sogenanntes Double-Opt-in): der TISAX®-Rechner auf der Seite zur TISAX®-Beratung (deine Preistendenz), das GEFIM Workbook TISAX®, das TISAX®-Starterpaket mit Vorlagen (eine ZIP-Datei), die Broschüre zum BCM-Workshop auf der Seite zum BCM-Workshop, die Checkliste VDA ISA 2027, die Checkliste „Verdächtiger Support-Anruf“, der Notfallplan Cyberangriff und der Leitfaden „Schluss mit Zettelwirtschaft“ für Handwerksbetriebe (jeweils ein Download-Link). Einen Newsletter oder andere Werbe-E-Mails bekommst du über diese Angebote nicht; was beim Gewinnspiel gilt, steht in Ziffer 17.

Welche Daten.

• Beim TISAX®-Rechner deine Antworten auf fünf Fragen zu deinem Unternehmen – nicht zu dir als Person: Wo startest du? · Womit arbeitest du für deinen Kunden? · Wie groß ist der Bereich, der geprüft wird? · Wo stehst du heute? · Bis wann braucht dein Kunde das Label?
• dein Name und deine E-Mail-Adresse (Pflicht), dein Unternehmen (beim TISAX®-Rechner Pflicht, sonst freiwillig), freiwillig deine Telefonnummer – bei den Unterlagen nur zusammen mit dem Häkchen für eine einmalige Ansprache, ohne dieses Häkchen übernehmen wir sie nicht;
• dein Pflicht-Häkchen mit dem genauen Wortlaut und seiner Fassung und, falls gesetzt, das freiwillige Häkchen für eine einmalige Ansprache;
• zum Nachweis deiner Einwilligung: Zeitpunkt, IP-Adresse und Browserkennung der Anforderung und des Bestätigungsklicks sowie die Seite, von der aus du das Formular abgeschickt hast.

So läuft es ab. Nach dem Absenden bekommst du eine Bestätigungs-E-Mail. Sie enthält bewusst weder deinen Namen noch dein Unternehmen und keinen Betrag – nur einen Link, der sieben Tage gilt. Der Link öffnet eine Seite mit einem Knopf; erst dein Klick darauf zählt als Bestätigung (manche E-Mail-Programme öffnen Links automatisch). Danach schicken wir dir eine einzelne E-Mail, jeweils mit einem Hinweis, wie du ein Gespräch vereinbaren kannst: beim TISAX®-Rechner deine Preistendenz, bei den Unterlagen einen Download-Link, der sieben Tage gilt – beim TISAX®-Starterpaket zusätzlich mit einem persönlichen Link, über den du Dokumente zur Prüfung hochladen kannst (Prüfung deiner Dokumente). Die Datei selbst ist ohne den Download-Link nicht abrufbar. Bestätigst du nicht, schicken wir dir nichts weiter.

Keine Datenbank auf dem Webserver. Wir führen keine Datenbank und keine Liste unbestätigter Adressen. Deine Angaben stehen verschlüsselt im Bestätigungslink selbst; lesen kann ihn nur unser Server. Beim Öffnen steht der Link wie jede aufgerufene Adresse im Zugriffsprotokoll des Hosters (Ziffer 4) – dort aber nicht lesbar. Zusätzlich geht für jeden Schritt eine Protokoll-E-Mail an unser Postfach info@gefim.de; sie nennt auch, welche Unterlage du angefordert hast.

Schutz vor Missbrauch. Er funktioniert wie in Ziffer 6 beschrieben. Zusätzlich gilt je E-Mail-Adresse: höchstens eine Anforderung je Angebot in 15 Minuten und höchstens fünf Anforderungen am Tag über alle diese Angebote und die Anmeldung zum Gewinnspiel (Ziffer 17) zusammen; um Mitternacht beginnt die Zählung neu. Gezählt wird die Adresse in Kleinbuchstaben und ohne einen Zusatz nach „+“ (name+abc@firma.de zählt wie name@firma.de), bei Gmail-Adressen auch ohne die Punkte vor dem @. Die E-Mail geht trotzdem an genau die Adresse, die du eingegeben hast. Gespeichert wird dafür nur ein Prüfwert, gebildet wie in Ziffer 6 aus der Adresse, dem geheimen Schlüssel und dem Datum, mit den Zeitpunkten deiner Anforderungen – nie die Adresse selbst. Gelöscht wird er wie in Ziffer 6 beschrieben. Adressen bekannter Wegwerf-Dienste nehmen wir nicht an; dafür vergleichen wir nur den Teil hinter dem @ mit einer Liste solcher Dienste, gespeichert wird dabei nichts.

Jeder Bestätigungslink wirkt nur einmal. Nach deinem Klick auf den Knopf legen wir auf dem Webserver einen Vermerk an. Er enthält nur den Zeitpunkt deiner Bestätigung; sein Name besteht aus dem Ablaufdatum des Links und einem Prüfwert aus der zufälligen Vorgangsnummer und dem geheimen Schlüssel – ohne Adresse und ohne Namen. Über die Vorgangsnummer, die auch in unseren Protokoll-E-Mails steht, ließe sich der Vermerk deiner Anforderung zuordnen; er dient aber nur dazu, einen zweiten Versand zu verhindern. Öffnest du den Link noch einmal, zeigen wir dir, wann du bestätigt hast, und schicken nichts erneut. Nach Ablauf des Links (sieben Tage nach deiner Anforderung) hat der Vermerk keine Funktion mehr; gelöscht wird er danach automatisch bei einer späteren Nutzung eines unserer Formulare. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; unser berechtigtes Interesse ist, mehrfachen Versand und Missbrauch der Links zu verhindern.

Woher deine Anfrage kommt (Anzeigen, ohne Cookies). Kommst du über eine Anzeige oder einen markierten Link zu uns, enthält die Adresse der Seite oft eine Herkunftsangabe – etwa quelle=google-ads oder einen Kampagnennamen (utm_campaign). Ein kleines Skript übernimmt diese beiden Angaben aus der Adresse in versteckte Felder des Formulars. Klick-Kennungen, die Werbeanbieter an die Adresse anhängen – etwa gclid von Google oder fbclid von Meta –, übernehmen wir nicht; an einer gclid erkennt das Skript nur, dass du über eine Google-Anzeige kamst. Es setzt dafür keine Cookies, speichert nichts in deinem Browser und lädt nichts von Google. Es liest nur die Adresse der gerade geöffneten Seite, die dein Browser beim Aufruf ohnehin an unseren Server geschickt hat; sonstige auf deinem Gerät gespeicherte Informationen liest es nicht aus. Die Angaben reisen verschlüsselt im Bestätigungslink mit und stehen in den beiden Protokoll-E-Mails an unser Postfach. Außerdem steht die aufgerufene Adresse samt dieser Angaben wie jede Adresse in den Server-Logfiles, die nach 30 Tagen gelöscht werden (Ziffer 4). Zweck: Wir möchten wissen, welche Anzeige zu einer Anfrage geführt hat, um Werbung sinnvoll zu steuern und nicht für wirkungslose Anzeigen zu bezahlen. Rechtsgrundlage ist unser berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.

Nur für uns, nicht für die Werbeanbieter. Die Herkunftsangaben nutzen wir ausschließlich intern, um eine Anfrage der Anzeige zuzuordnen, über die sie kam. Wir geben sie an niemanden weiter, auch nicht an Google oder andere Werbeanbieter. Wie gut eine Anzeige wirkt, zählen wir selbst an den bestätigten Anforderungen; nur wenn du im Banner zustimmst, misst das zusätzlich Google über das Google-Tag – ohne diese Herkunftsangaben, die das Skript aus der Adresse weglässt (Ziffer 18). Deine Interessen überwiegen nicht, weil wir dadurch nur erfahren, über welche Anzeige du kamst, die Angaben unser Postfach nicht verlassen und wir daraus kein Profil über dich bilden. Den Klick auf die Anzeige selbst verarbeitet der jeweilige Werbeanbieter in eigener Verantwortung; dafür gilt dessen Datenschutzerklärung. Du kannst der Verarbeitung bei uns jederzeit widersprechen (Ziffer 3), zum Beispiel per E-Mail an info@gefim.de. Dann löschen wir die Herkunftsangaben aus den Protokoll-E-Mails. Sonst gilt die Aufbewahrung der Protokoll-E-Mails (siehe unten).

Wie die Preistendenz entsteht. Der Server rechnet die Tendenz aus deinen Antworten nach einem festen Schema (Aufwand nach Assessment-Level und Größe mit Zu- und Abschlägen). Sie ist eine unverbindliche Einschätzung, kein Angebot und keine Entscheidung über dich (Ziffer 14).

Zwecke und Rechtsgrundlagen.

• Zusendung der Preistendenz bzw. der angeforderten Unterlage auf deine Anforderung – deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; beim TISAX®-Rechner zugleich vorvertragliche Maßnahme auf deine Anfrage, Art. 6 Abs. 1 lit. b DSGVO.
• Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO) mit den Protokoll-E-Mails – Art. 6 Abs. 1 lit. c und f DSGVO; unser berechtigtes Interesse ist, belegen zu können, dass und wozu du eingewilligt hast.
• Nur mit dem freiwilligen zweiten Häkchen: eine einmalige Ansprache per E-Mail oder Telefon – deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie ist für die Zusendung nicht nötig und wird erst mit deinem Bestätigungsklick wirksam.

Widerruf. Du kannst jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an info@gefim.de. Danach sprechen wir dich nicht mehr an; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Speicherdauer. Bestätigst du nicht, löschen wir die Protokoll-E-Mail zur Anforderung 30 Tage nach Ablauf des Bestätigungslinks; das Datum steht in der E-Mail. Bestätigst du, bewahren wir beide Protokoll-E-Mails als Einwilligungsnachweis bis drei Jahre nach Ablauf des Jahres der Bestätigung auf. Wird aus deiner Anfrage keine Geschäftsbeziehung, löschen wir deine übrigen Angaben wie in Ziffer 16 beschrieben.

Empfänger. Den Versand übernimmt unser Hoster, das Postfach liegt bei Microsoft 365, die Telefonanlage für Anrufe bei Placetel (Ziffern 8 und 9). Darüber hinaus geben wir nichts an andere weiter, auch die Herkunftsangaben aus Anzeigen nicht (siehe oben, „Woher deine Anfrage kommt“); einen Versanddienstleister gibt es nicht.

Prüfung deiner Dokumente (TISAX®-Starterpaket)

Zum TISAX®-Starterpaket prüfen wir auf Wunsch insgesamt bis zu drei deiner Dokumente kostenlos und geben dir einmal eine Rückmeldung. Du kannst sie über den persönlichen Link aus der E-Mail mit dem Paket hochladen oder per E-Mail an info@gefim.de schicken; für E-Mails gilt Ziffer 8.

Welche Daten.

• die Dateien selbst (Word, Excel oder PDF, höchstens drei, zusammen höchstens 10 MB) mit Dateinamen und Größe;
• dein Name, dein Unternehmen und deine E-Mail-Adresse – sie stehen verschlüsselt im Link, du gibst sie nicht neu ein;
• freiwillig deine Telefonnummer und ein Hinweis, worauf wir besonders achten sollen;
• deine Bestätigung, dass du die Dokumente an uns weitergeben darfst, mit Wortlaut und Zeitpunkt.

Deine Dokumente können ihrerseits personenbezogene Daten enthalten, etwa die Namen von Verantwortlichen. Schick uns bitte nur, was für die Prüfung nötig ist, und keine Zugangsdaten.

So läuft es ab. Der Link gilt 90 Tage. Der Server prüft die Dateien im Arbeitsspeicher: Dateityp und Größe, bei Word und Excel nur das Inhaltsverzeichnis der Datei und ihre kleinen Steuerdateien, nicht den Text. Dateien mit Makros, ActiveX-Elementen oder eingebetteten Objekten sowie verschlüsselte oder beschädigte Dateien lehnt er ab – sie erreichen uns nicht. Bei PDF-Dateien sucht er nach Kennzeichen aktiver Inhalte. Lädt ein Dokument beim Öffnen etwas von außen nach, verweist es auf einen Datei- oder Netzwerkpfad oder trägt ein PDF solche Kennzeichen, steht in unserer E-Mail ein Warnhinweis mit dem gekürzten Ziel; darin kann zum Beispiel ein Benutzername aus einem Dateipfad stehen, und es gelten derselbe Zweck und dieselbe Löschfrist wie für die Dokumente. Angenommene Dateien leitet der Server unmittelbar als Anhang einer E-Mail an unser Postfach info@gefim.de weiter und schickt dir eine Eingangsbestätigung. Die Dateien und deine Angaben speichern wir auf dem Webserver nicht; die Dateien liegen nur während der Übertragung im Zwischenspeicher des Servers und werden danach automatisch gelöscht. Wie der Bestätigungslink steht auch dein Upload-Link beim Aufruf und beim Absenden im Zugriffsprotokoll des Hosters (Ziffer 4) – dort aber nicht lesbar. Der Schutz vor Missbrauch funktioniert wie in Ziffer 6 beschrieben, mit Prüfwerten statt IP- und E-Mail-Adresse.

Zwecke und Rechtsgrundlagen.

• Schickst du die Dokumente für dich selbst, etwa als Einzelunternehmer, prüfen wir sie auf deine Anfrage hin – Art. 6 Abs. 1 lit. b DSGVO.
• Schickst du sie für ein Unternehmen, und für Angaben zu anderen Personen in den Dokumenten, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Prüfung durchzuführen, um die du gebeten hast.

Speicherdauer. Wir nutzen deine Dokumente nur für die Rückmeldung, geben sie nicht weiter und löschen sie spätestens 30 Tage nach unserer Rückmeldung – auch dann, wenn du uns danach beauftragst; für einen Auftrag schickst du sie uns einfach neu. Empfänger wie oben: Den Versand übernimmt unser Hoster, das Postfach liegt bei Microsoft 365.

8. Kontakt per E-Mail, Telefon, Videokonferenz und WhatsApp

E-Mail und Telefon. Schreibst du uns direkt oder rufst an, verarbeiten wir deine Angaben, um dein Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du für dich selbst schreibst und es um eine Vertragsanbahnung geht, sonst, auch wenn du für ein Unternehmen schreibst, Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, geschäftliche Anfragen zu beantworten. Speicherdauer: Ziffer 16.

Unser E-Mail-Postfach. Alle Nachrichten aus dem Formular und alle E-Mails an info@gefim.de laufen in unserem Postfach zusammen. Wir betreiben es über Microsoft 365 (Exchange Online). Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Mit dem Anbieter besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO (Microsoft Data Protection Addendum). Unser Mandant liegt in Europa; die Verarbeitung findet im Rahmen der EU-Datengrenze (EU Data Boundary) innerhalb der Europäischen Union statt (Ziffer 13).

Unsere Telefonanlage. Rufst du uns unter +49 531 180 540 80 an, nimmt unsere Telefonanlage in der Cloud den Anruf an und stellt ihn zu uns durch. Auch wenn wir dich anrufen, etwa für einen Rückruf, nutzen wir in der Regel diese Telefonanlage. Anbieter ist die Gamma Placetel GmbH, Lothringer Straße 56, 50677 Köln (Placetel). Dabei verarbeitet Placetel deine Telefonnummer, Zeitpunkt und Dauer des Anrufs und das Gespräch, während es übertragen wird; rufst du uns an, deine Nummer nur, wenn du sie nicht unterdrückst. Mit dem Anbieter besteht ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO; die Telefonanlage läuft nach Angaben von Placetel in Rechenzentren in Deutschland.

Erstgespräch per Videokonferenz. Führen wir ein Gespräch per Video, nutzen wir in der Regel Microsoft Teams über denselben Mandanten und denselben Auftragsverarbeitungsvertrag. Verarbeitet werden dein Name bzw. Anzeigename, deine Verbindungsdaten und die Bild- und Tonsignale, die du übermittelst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir zeichnen diese Gespräche nicht auf.

Termin online buchen. Für das Erstgespräch kannst du einen Termin über Microsoft Bookings buchen. Der Link führt auf eine Seite von Microsoft; erst wenn du ihn anklickst, werden Daten an Microsoft übertragen – auf gefim.de selbst ist nichts eingebunden. Bei der Buchung verarbeiten wir die Angaben, die du dort machst (Name, E-Mail-Adresse, Telefon und dein Anliegen, falls angegeben), und den gewählten Termin, um das Gespräch durchzuführen. Der Dienst läuft über denselben Microsoft-365-Mandanten und denselben Auftragsverarbeitungsvertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Darstellung der Buchungsseite ist Microsoft selbst verantwortlich.

Kontakt per WhatsApp

Ein zusätzlicher Weg, freiwillig. Unter unserer Telefonnummer +49 531 180 540 80 kannst du uns auch per WhatsApp schreiben. Schick an diese Nummer bitte nur WhatsApp-Nachrichten, keine SMS. Wir antworten Montag bis Freitag zwischen 8 und 17 Uhr, spätestens am nächsten Werktag. Du musst WhatsApp nicht nutzen: E-Mail, Telefon und unser Formular stehen dir genauso offen.

Auf gefim.de ist WhatsApp nicht eingebunden. Unser WhatsApp-Knopf, das Fenster dazu und unsere WhatsApp-Links gehören zu dieser Website. Sie laden nichts von WhatsApp, setzen keine Cookies und speichern nichts in deinem Browser (Ziffer 5). Erst wenn du auf „In WhatsApp öffnen“ oder einen WhatsApp-Link klickst, ruft dein Gerät die Adresse wa.me von WhatsApp auf und öffnet die WhatsApp-App oder WhatsApp Web. Als Herkunft erfährt WhatsApp dabei nur unsere Domain. Für WhatsApp selbst gilt ab dann die Datenschutzrichtlinie von WhatsApp, für unseren Umgang mit deinen Nachrichten diese Datenschutzerklärung.

Text aus unserem WhatsApp-Fenster. Über unseren WhatsApp-Knopf und über „Per WhatsApp schreiben“ auf den Seiten Kontakt und Erstgespräch öffnet sich ein Fenster, in dem du deine Nachricht vorbereiten kannst. Klickst du auf „In WhatsApp öffnen“, setzt unsere Seite den Text in die Adresse ein (wa.me/…?text=…). An unseren Server geht er nicht. Mit dem Aufruf dieser Adresse kann WhatsApp den Text aber schon vor dem Absenden erhalten. Er ist dann nur auf dem Transportweg verschlüsselt, noch nicht Ende-zu-Ende. Außerdem kann die Adresse mit dem Text im Verlauf deines Browsers stehen. Abgeschickt wird der Text erst, wenn du ihn in WhatsApp sendest; bis dahin kannst du ihn ändern oder löschen. Möchtest du das nicht, schreib deine Nachricht erst in WhatsApp, etwa über den Link wa.me/4953118054080.

Welche Daten wir sehen. Schreibst du uns, sehen wir deinen Profilnamen und deine WhatsApp-Telefonnummer. Hast du bei WhatsApp einen Nutzernamen, zeigt WhatsApp uns nach eigenen Angaben deine Nummer nicht, wenn du uns zum ersten Mal schreibst; wir sehen dann deinen Nutzernamen. Je nach deinen Einstellungen in WhatsApp sehen wir auch dein Profilbild und deine Info. Dazu kommen deine Nachrichten mit allem, was du mitschickst, etwa Fotos, Dateien oder Sprachnachrichten, und der Zeitpunkt, zu dem du sie geschickt hast. Ob WhatsApp uns darüber hinaus etwas anzeigt, etwa ob du online bist oder unsere Antwort gelesen hast, legst du in deinen Einstellungen bei WhatsApp fest. Wir werten das nicht aus.

Anrufe über WhatsApp. Über WhatsApp kann man uns auch anrufen. Für ein Gespräch ruf uns bitte ganz normal unter +49 531 180 540 80 an. Rufst du uns trotzdem über WhatsApp an, sehen wir in der App deine Telefonnummer oder deinen Nutzernamen, deinen Profilnamen und den Zeitpunkt des Anrufs, auch wenn wir nicht annehmen. Anrufe zeichnen wir nicht auf. Für Zweck, Rechtsgrundlage und Speicherdauer gilt dasselbe wie für Nachrichten.

Wer bei uns liest. Wir nutzen die App WhatsApp Business. Zugriff auf unser Konto haben nur die Mitarbeitenden, die Anfragen bearbeiten; sie sehen dieselben Chats. Die Geräte sind mit Bildschirmsperre und Verschlüsselung geschützt. Eine Sicherung der Chats bei Google Drive oder in der iCloud legen wir nicht an.

Kein Adressbuch für WhatsApp. Lässt man es zu, gleicht WhatsApp das Adressbuch eines Geräts ab. Dabei überträgt WhatsApp die Telefonnummern aller gespeicherten Kontakte, auch von Menschen, die WhatsApp gar nicht nutzen. Das schließen wir aus: Unsere WhatsApp-App hat keinen Zugriff auf Kontakte, und auf dem Gerät sind keine Kontakte gespeichert. Wir laden keine Kundenlisten hoch und legen dich in WhatsApp nicht als Kontakt an. Von uns bekommt WhatsApp also keine Telefonnummern von Menschen, die uns nicht selbst geschrieben haben.

Verschlüsselung und was WhatsApp sieht. Nach Angaben von WhatsApp sind die Nachrichten zwischen dir und uns Ende-zu-Ende-verschlüsselt. Lesen können sie nur du und wir, nicht WhatsApp. Das gilt, weil wir die Chats selbst in der App führen: Wir lassen sie weder von Meta noch von einem anderen Dienstleister speichern oder beantworten und nutzen dafür keine KI-Funktionen von WhatsApp oder Meta. Eine Ausnahme: Meldet einer von uns beiden den Chat bei WhatsApp, etwa als Spam, kann WhatsApp mit der Meldung auch Nachrichten aus diesem Chat erhalten. Meldungen bewahrt WhatsApp nach eigenen Angaben in der Regel 90 Tage auf. Zugestellte Nachrichten löscht WhatsApp nach eigenen Angaben von seinen Servern, nicht zustellbare nach 30 Tagen. WhatsApp verarbeitet aber deine Kontodaten sowie Verbindungs- und Nutzungsdaten, sogenannte Metadaten: zum Beispiel, wer wann mit wem schreibt, und Angaben zu Gerät und Verbindung. Nach eigenen Angaben teilt WhatsApp Informationen auch mit anderen Meta-Unternehmen.

Wer wofür verantwortlich ist. Für unseren Umgang mit deinen Nachrichten sind wir verantwortlich (Ziffer 1). Für den Betrieb von WhatsApp ist die WhatsApp Ireland Limited selbst verantwortlich. Dazu gehören dein Konto und die Verbindungs- und Nutzungsdaten (Metadaten). Dafür gilt ihre Datenschutzrichtlinie, wie für alles, was du sonst bei WhatsApp tust. Damit wir mit dir schreiben können, verarbeitet WhatsApp außerdem deine Kontaktdaten in unserem Konto, also deine Telefonnummer oder deinen Nutzernamen. Dafür ist WhatsApp nach den Bedingungen für die WhatsApp-Business-App unser Auftragsverarbeiter nach Art. 28 DSGVO; es gelten die Auftragsverarbeitungsbedingungen von WhatsApp, die Teil dieser Bedingungen sind. Danach darf WhatsApp andere Meta-Unternehmen als Unterauftragsverarbeiter einsetzen. Ein Adressbuch oder Kundenlisten geben wir WhatsApp nicht (siehe oben). WhatsApp verarbeitet Daten auch in den USA (Ziffer 13). Deine Rechte aus Ziffer 3 kannst du bei uns geltend machen; geht es um dein WhatsApp-Konto oder die Metadaten, wende dich an WhatsApp.

Zweck und Rechtsgrundlage. Wir bearbeiten deine Nachrichten wie eine E-Mail, um dein Anliegen zu beantworten. Schreibst du für dich selbst, etwa als Einzelunternehmer, und geht es um ein Erstgespräch, ein Angebot oder einen Vertrag, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Schreibst du für ein Unternehmen oder ohne Bezug zu einem Vertrag, ist es Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, geschäftliche Anfragen zu beantworten und dir einen Kontaktweg anzubieten, den viele ohnehin nutzen. Deine Interessen überwiegen nicht, weil du WhatsApp selbst wählst und dir andere Wege gleichwertig offenstehen. Außerdem sind die Nachrichten, die du in WhatsApp abschickst, Ende-zu-Ende-verschlüsselt, und WhatsApp bekommt von uns kein Adressbuch. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3). Dann antworten wir dir per E-Mail oder Telefon und löschen den Chat, soweit wir ihn nicht aufbewahren müssen.

Keine Werbung über WhatsApp. Wir antworten auf deine Nachrichten. Werbung oder Rundnachrichten (Broadcasts) schicken wir über WhatsApp nicht. Deine Nummer verwenden wir nur, um dein Anliegen zu bearbeiten.

Bitte nichts Vertrauliches, nicht für Notfälle. Schick uns per WhatsApp keine Passwörter oder Zugangsdaten und keine Angaben zu konkreten Sicherheitsvorfällen oder Schwachstellen. Bei einem akuten Vorfall ruf uns bitte direkt an: +49 531 180 540 80 (Soforthilfe). Störungen aus einem bestehenden Vertrag meldest du bitte über den Weg, der dort vereinbart ist.

Speicherdauer. Chats und Anrufliste liegen auf unseren Geräten. Führt ein Chat zu keiner Geschäftsbeziehung, löschen wir ihn, sobald dein Anliegen abschließend bearbeitet ist und nichts dafür spricht, dass du darauf zurückkommst, in der Regel spätestens sechs Monate nach dem letzten Kontakt. Führt er zu einer Geschäftsbeziehung, behalten wir ihn für deren Dauer und löschen ihn danach. Was davon Handels- oder Geschäftsbrief ist, etwa eine Bestellung, ein Auftrag oder die Annahme eines Angebots, übernehmen wir zeitnah in unser Postfach oder unsere Ablage in Microsoft 365 und bewahren es dort nach den Fristen in Ziffer 16 auf. Wie lange WhatsApp selbst Daten speichert, regelt die Datenschutzrichtlinie von WhatsApp.

Anbieter für Nutzer in der EU:

WhatsApp Ireland Limited
Merrion Road
Dublin 4, D04 X2K5, Irland
Datenschutzrichtlinie: whatsapp.com/legal/privacy-policy-eea
Bedingungen für die WhatsApp-Business-App: whatsapp.com/legal/WhatsApp-Terms-for-WhatsApp-Business-App
Auftragsverarbeitungsbedingungen: whatsapp.com/legal/business-data-processing-terms
Zusatz zur Datenübermittlung: whatsapp.com/legal/business-data-transfer-addendum
Datenschutzbeauftragter von WhatsApp: whatsapp.com/contact/forms/3022366361353546

9. Empfänger und Auftragsverarbeiter

Wir geben deine Daten nur weiter, soweit das für die hier genannten Zwecke nötig ist. Einen Verkauf deiner Daten gibt es nicht, ebenso wenig eine Weitergabe zu Werbezwecken Dritter – mit einer Ausnahme, nur mit deiner Einwilligung: Bei der Erfolgsmessung unserer Google-Anzeigen nutzt Google die Daten, die es über das Google-Tag erhält, auch für eigene Zwecke (Ziffer 18).

ALL-INKL.COM, Microsoft, Placetel und DATEV arbeiten für uns als Auftragsverarbeiter nach Art. 28 DSGVO, sind an unsere Weisungen gebunden und zur Vertraulichkeit verpflichtet. LinkedIn und Meta (Facebook, Instagram) arbeiten nicht in unserem Auftrag: Für die Statistiken unserer Seiten dort sind sie gemeinsam mit uns verantwortlich, und über diese Website erhalten sie keine Daten von dir (Ziffern 11 und 12). Google arbeitet ebenfalls nicht in unserem Auftrag: Für das Erheben der Daten über das Google-Tag und ihre Übermittlung an Google sind wir nach unserer Einschätzung zusammen mit Google verantwortlich, für alles danach ist Google allein verantwortlich (Ziffer 18). Die GRENKE AG erhält Daten nur, wenn du über uns eine Finanzierung anfragst, und verarbeitet sie als eigener Verantwortlicher, nicht in unserem Auftrag (Ziffer 10). Die Miete24 P4Y GmbH erhält Daten nur, wenn du eine Finanzierung über uns möchtest: Über ihr Händlerportal laufen Angebot und Anfrage, und sie kauft die finanzierten Geräte von uns (Ziffer 10). Auch Miete24 verarbeitet die Daten als eigener Verantwortlicher, nicht in unserem Auftrag. Die WhatsApp Ireland Limited erhält Daten nur, wenn du uns per WhatsApp schreibst oder anrufst. Für die Kontaktdaten in unserem Konto ist sie nach ihren Auftragsverarbeitungsbedingungen unser Auftragsverarbeiter. Sie darf dafür andere Meta-Unternehmen einsetzen und gibt Daten an die WhatsApp LLC und die Meta Platforms, Inc. in den USA weiter (Ziffer 13). Für den Betrieb von WhatsApp mit deinem Konto und den Metadaten ist sie eigener Verantwortlicher (Ziffer 8). Google erhält Daten von dir nur mit deiner Einwilligung, und zwar über das Google-Tag direkt aus deinem Browser (Ziffer 18) – nie die Herkunftsangaben aus Anzeigen (Ziffer 7), dein Anliegen oder Inhalte deiner Anfragen. Über deine Anfrage erfährt Google nur, dass und welche Art von Conversion stattfand; welche Daten Google sonst erhält, steht in der Übersicht unten und in Ziffer 18. Beauftragst du einen CyberRisikoCheck, geben wir die Antworten aus dem Interview in die Webanwendung ein, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) dafür bereitstellt, aber keine Namen und Kontaktdaten von Personen (Ziffer 10). Darüber hinaus geben wir deine Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind – etwa gegenüber Finanz-, Strafverfolgungs- oder Aufsichtsbehörden – oder wenn es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen nötig ist. Im Einzelfall können auch unsere Steuerberatung und unser Rechtsbeistand Empfänger sein, jeweils mit gesetzlicher Verschwiegenheitspflicht.

Außer dem Google-Tag, das nur nach deiner Einwilligung lädt (Ziffer 18), ist auf dieser Website keiner der folgenden Dienste eingebunden: gesonderte Anbieter von Reichweitenmessung oder Webanalyse, weitere Werbenetzwerke, soziale Netzwerke, Captcha-Dienste, Kartendienste, Videoplattformen, Terminbuchungsdienste, Chat- oder Messenger-Dienste, Newsletter- oder Versanddienstleister und Anbieter von Einwilligungsbannern – unser Banner ist Teil dieser Website. Unser WhatsApp-Knopf und das Fenster dazu sind Teil dieser Website und laden nichts von WhatsApp (Ziffer 8). Die Zugriffsstatistik aus Ziffer 4 erstellt unser Hoster mit einem Programm auf seinem eigenen Server; ein weiterer Dienstleister kommt dafür nicht hinzu. Für unsere Anzeigen lädt nur mit deiner Einwilligung das Google-Tag (Ziffer 18); die Herkunftsangaben aus Ziffer 7 bleiben in unserem Postfach.

10. Verträge, Rechnungen und Buchhaltung

Wirst du Kunde, verarbeiten wir die Angaben aus Angebot, Auftrag und Vertragsdurchführung: Firma und Anschrift, Namen und Kontaktdaten deiner Ansprechpersonen, die vereinbarten Leistungen, Rechnungen und Zahlungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Abschluss und Erfüllung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO (Aufbewahrungspflichten). Angebote, Verträge und Schriftverkehr liegen in unserem Postfach und unserer Ablage in Microsoft 365 (Ziffern 8 und 13).

Rechnungen und Buchhaltung führen wir mit DATEV Unternehmen online der DATEV eG, Paumgartnerstraße 6–14, 90429 Nürnberg. Die DATEV eG ist dafür unser Auftragsverarbeiter nach Art. 28 DSGVO; nach ihren Angaben liegen die Daten im DATEV-Rechenzentrum in Deutschland. Fristen: Ziffer 16.

CyberRisikoCheck nach DIN SPEC 27076

Beauftragst du uns mit einem CyberRisikoCheck, führen wir ein Interview mit deiner Geschäftsleitung, erstellen daraus einen Bericht mit Empfehlungen und besprechen ihn mit dir – per Videokonferenz (Ziffer 8) oder auf deinen Wunsch vor Ort. Dafür verarbeiten wir Namen und Kontaktdaten deiner Ansprechpersonen, ihre Antworten zur Informationssicherheit deines Unternehmens, unsere Notizen aus den Gesprächen und den Bericht. Bist du Einzelunternehmer, beziehen sich auch die Angaben zum Unternehmen auf dich.

Die Antworten aus dem Interview erfassen wir in der Webanwendung, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) geschulten IT-Dienstleistern für den CyberRisikoCheck bereitstellt, und erstellen damit den Bericht. Namen und Kontaktdaten von Personen geben wir dort nicht ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst Vertragspartner bist, etwa als Einzelunternehmer. Für die Angaben zu Ansprechpersonen eines Unternehmens ist es Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist, den beauftragten CyberRisikoCheck durchzuführen. Verantwortlich dafür sind wir (Ziffer 1); wir verarbeiten diese Daten nicht im Auftrag deines Unternehmens. Antworten, Notizen und Bericht bewahren wir auf, soweit wir sie zur Durchsetzung oder Abwehr von Ansprüchen aus dem Auftrag brauchen, bis zum Ablauf der Verjährung; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO. Angebot, Auftrag, Schriftverkehr und Rechnung bewahren wir nach den Fristen in Ziffer 16 auf.

Finanzierung über grenke: Leasing und Mietkauf

Möchtest du Geräte oder Programme nicht auf einmal bezahlen, kannst du sie über unseren Finanzierungspartner leasen oder im Mietkauf erwerben. Den Vertrag schließt du dann mit der GRENKE AG, Neuer Markt 2, 76532 Baden-Baden. Angebot und Anfrage laufen über das Händlerportal der Miete24 P4Y GmbH, Am Markt 4, 16727 Velten, eines Beteiligungsunternehmens der GRENKE AG. Nur wenn du eine Finanzierung möchtest, geben wir dort die Angaben ein, die für Angebot und Prüfung nötig sind: Firma, Rechtsform und Anschrift, Namen und Kontaktdaten deiner Ansprechperson und der zur Vertretung berechtigten Personen, die Geräte oder Programme mit Preisen und die gewünschte Laufzeit. Das Finanzierungsangebot kannst du online annehmen; danach geht die Anfrage an grenke. Nach der Prüfung bekommst du eine E-Mail, um dich zu identifizieren und den Vertrag digital zu unterschreiben; die Vertragsunterlagen findest du danach im Kundenbereich von grenke. Wir erfahren, ob die Finanzierung zustande kommt. Die finanzierten Geräte kauft Miete24 von uns und erhält dafür unsere Rechnung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst Vertragspartner wirst, etwa als Einzelunternehmer. Für die Angaben zu Ansprechpersonen und Vertretern eines Unternehmens ist es Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist, die Finanzierung zu ermöglichen, um die du uns gebeten hast. grenke und Miete24 verarbeiten die Daten jeweils als eigene Verantwortliche, nicht in unserem Auftrag. Ob und zu welchen Bedingungen grenke dir einen Vertrag anbietet, entscheidet grenke selbst; dafür fragt grenke nach eigenen Angaben Auskunfteien wie die SCHUFA, Creditreform Boniversum und CRIF an und bewertet deine Kreditwürdigkeit teilweise automatisiert mit einem Scoring (Profiling). Eine vollautomatisierte Entscheidung nach Art. 22 DSGVO setzt grenke dafür nach eigenen Angaben grundsätzlich nicht ein. Haftet eine natürliche Person für den Vertrag, etwa du als Einzelunternehmer, meldet grenke nach dem Vertrag Daten zu dieser Beteiligung an die SCHUFA; ein SCHUFA-Informationsblatt liegt dem Vertrag bei. Was grenke mit deinen Daten macht und welche Rechte du dort hast, steht in den Datenschutzhinweisen der GRENKE AG, besonders in den Ziffern 9 und 10: grenke.de/datenschutz-grenke-ag. Was Miete24 mit deinen Daten macht und welche Rechte du dort hast, steht in den Datenschutzhinweisen der Miete24 P4Y GmbH.

Unsere Anfrage, die Rückmeldung von grenke, den Kaufvertrag über die finanzierten Geräte und die Rechnung bewahren wir nach Ziffer 16 auf. Das gilt auch, wenn keine Finanzierung zustande kommt; dein Auftrag, unsere Auftragsbestätigung und unsere Mitteilung über die Absage sind dann Geschäftsbriefe (Ziffer 16).

11. Unsere Unternehmensseite und Anzeigen bei LinkedIn

Auf gefim.de ist LinkedIn nicht eingebunden – kein Skript, kein Zählpixel, keine Schaltfläche (Ziffer 5). Über diese Website erhält LinkedIn keine Daten von dir. Was hier beschrieben ist, geschieht auf LinkedIn selbst.

Unsere Unternehmensseite. Auf LinkedIn betreiben wir die Unternehmensseite „GEFIM – Informationssicherheit im Mittelstand“. Besuchst du sie, folgst du ihr oder interagierst du mit ihr, verarbeitet LinkedIn personenbezogene Daten, um uns daraus Statistiken zu unserer Seite bereitzustellen („Page Insights“) – nach eigenen Angaben etwa Funktion, Land, Branche, Karrierestufe und Unternehmensgröße aus deinem Profil und wie du mit unserer Seite interagiert hast.

Für diese Statistiken sind wir und die LinkedIn Ireland Unlimited Company gemeinsam verantwortlich (Art. 26 DSGVO; Urteil des Gerichtshofs der Europäischen Union vom 5. Juni 2018 – C-210/16). Die Aufteilung regelt die Vereinbarung von LinkedIn über die gemeinsame Verantwortlichkeit („Page Insights Joint Controller Addendum“): legal.linkedin.com/pages-joint-controller-addendum. Das Wesentliche daraus:

• LinkedIn ist für die Bereitstellung der Statistiken nach der DSGVO zuständig, insbesondere für die Pflichten aus Art. 12 bis 22 und Art. 32 bis 34 DSGVO – also für deine Information, deine Rechte und die Sicherheit der Verarbeitung.
• Wir erhalten die Statistiken nur zusammengefasst und können sie keiner einzelnen Person zuordnen.
• Deine Rechte zu diesen Statistiken kannst du in deinen LinkedIn-Einstellungen oder direkt gegenüber LinkedIn geltend machen. Du kannst dich auch an uns wenden; wir leiten dein Anliegen dann an LinkedIn weiter.
• Federführende Aufsichtsbehörde ist die irische Data Protection Commission; dein Beschwerderecht nach Ziffer 3 bleibt unberührt.

Was wir außerdem sehen. Folgst du unserer Seite, zeigt LinkedIn uns deinen Namen, deinen aktuellen Arbeitgeber und seit wann du folgst. Reaktionen, Kommentare und geteilte Beiträge sind wie überall auf LinkedIn mit deinem Namen sichtbar. Schreibst du uns dort eine Nachricht, bearbeiten wir sie wie eine E-Mail (Ziffern 8 und 16). Die Nachricht selbst speichert LinkedIn; dafür gilt die Datenschutzerklärung von LinkedIn.

Anzeigen. Wir werben auf LinkedIn für unsere Angebote. Wem LinkedIn eine Anzeige zeigt, entscheidet LinkedIn anhand der Zielgruppe, die wir für eine Kampagne wählen; wir erfahren nicht, wem sie gezeigt wurde, und erhalten nur zusammengefasste Zahlen, etwa wie oft eine Anzeige gezeigt oder angeklickt wurde. Klickst du auf eine Anzeige, öffnet sich unsere Website wie bei jedem anderen Link; ein Skript oder Zählpixel von LinkedIn gibt es hier nicht (Ziffer 5). Öffnest du den Link in der LinkedIn-App, nutzt du deren eingebauten Browser; dafür gilt die Datenschutzerklärung von LinkedIn. Führt eine Anzeige auf eine andere unserer Websites, gilt deren Datenschutzerklärung. Füllst du ein Anfrageformular direkt in einer unserer LinkedIn-Anzeigen aus, steht alles dazu in Ziffer 16 der Datenschutzerklärung von nis2-berater.de.

Zweck und Rechtsgrundlage. Wir nutzen die Unternehmensseite und die Anzeigen, um unser Unternehmen und unsere Leistungen vorzustellen, und die Statistiken, um zu verstehen, wie unsere Beiträge ankommen – Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Fachleute und Unternehmen auf LinkedIn zu erreichen. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3). Anbieter für Mitglieder in der EU:

LinkedIn Ireland Unlimited Company
Wilton Plaza, Wilton Place
Dublin 2, Irland
Datenschutzerklärung: linkedin.com/legal/privacy-policy
Hinweise für die EU: linkedin.com/legal/privacy/eu
Datenschutzbeauftragter: linkedin.com/help/linkedin/ask/TSO-DPO

12. Unsere Seiten und Anzeigen bei Facebook und Instagram

Auf gefim.de sind Facebook und Instagram nicht eingebunden – kein Skript, kein Pixel, keine Schaltfläche (Ziffer 5). Über diese Website erhält Meta keine Daten von dir. Was hier beschrieben ist, geschieht auf Facebook und Instagram selbst. WhatsApp gehört ebenfalls zu Meta, wird in der EU aber von der WhatsApp Ireland Limited angeboten. Was gilt, wenn du uns dort schreibst, steht in Ziffer 8.

Unsere Seiten dort. Wir betreiben eine Seite bei Facebook und ein Profil bei Instagram. Besuchst du sie, folgst du ihnen oder interagierst du mit ihnen, verarbeitet Meta personenbezogene Daten, um uns daraus Statistiken zu unseren Seiten bereitzustellen („Seiten-Insights“ bzw. „Insights“). Dafür nutzt Meta nach eigenen Angaben etwa, ob du Beiträge, Videos oder Storys angesehen, uns gefolgt, reagiert, kommentiert oder etwas geteilt hast, und Angaben dazu wie Zeitpunkt, ungefährer Ort, Sprache, Alters- und Geschlechtsgruppe und die Art deines Geräts.

Nach eigenen Angaben setzt Meta dafür auch Cookies ein, etwa um festzustellen, ob du bei Facebook eingeloggt bist. Welche Cookies Meta setzt und wofür Meta dich um Einwilligung bittet, steht in der Cookie-Richtlinie von Meta (facebook.com/privacy/policies/cookies).

Für diese Statistiken sind wir und die Meta Platforms Ireland Limited gemeinsam verantwortlich (Art. 26 DSGVO; Urteil des Gerichtshofs der Europäischen Union vom 5. Juni 2018 – C-210/16). Die Aufteilung regelt die Vereinbarung von Meta über die gemeinsame Verantwortlichkeit („Page Insights Controller Addendum“, deutsch „Seiten-Insights-Ergänzung bezüglich des Verantwortlichen“), abrufbar unter facebook.com/legal/terms/page_controller_addendum. Die Vereinbarung nennt ausdrücklich nur Facebook-Seiten. Eine eigene Vereinbarung für Instagram hat Meta nach unserem Kenntnisstand nicht veröffentlicht. Wir gehen davon aus, dass für die Statistiken unseres Instagram-Profils dieselbe Aufteilung gilt. Unabhängig davon kannst du deine Rechte nach Art. 26 Abs. 3 DSGVO sowohl gegenüber Meta als auch gegenüber uns geltend machen. Das Wesentliche aus der Vereinbarung:

• Meta übernimmt die Pflichten aus der DSGVO für die Verarbeitung der Daten für die Statistiken, unter anderem aus Art. 12 und 13, Art. 15 bis 21 sowie Art. 33 und 34 DSGVO – also für deine Information, deine Rechte und die Meldung von Datenschutzverletzungen.
• Wir erhalten die Statistiken nur zusammengefasst und können sie keiner einzelnen Person zuordnen.
• Deine Rechte zu diesen Statistiken kannst du direkt gegenüber Meta geltend machen. Du kannst dich auch an uns wenden; wir leiten dein Anliegen dann unverzüglich, spätestens innerhalb von sieben Tagen, an Meta weiter.
• Federführende Aufsichtsbehörde ist die irische Data Protection Commission; dein Beschwerderecht nach Ziffer 3 bleibt unberührt.

Diese Vereinbarung gilt nur für die Statistiken. Für die übrigen Verarbeitungen auf Facebook und Instagram, mit denen wir nichts zu tun haben, ist Meta allein verantwortlich, etwa für die Werbung anderer Unternehmen, die Meta dir dort zeigt. Das regelt die Datenschutzrichtlinie von Meta. Was für unsere eigenen Anzeigen gilt, steht weiter unten unter „Anzeigen“.

Was wir außerdem sehen. Folgst du unserer Seite oder unserem Profil, sehen wir deinen Namen bzw. Nutzernamen und dein Profilbild, so wie du sie dort für andere sichtbar gemacht hast. Reaktionen, Kommentare und geteilte Beiträge sind wie überall bei Facebook und Instagram mit deinem Namen sichtbar. Schreibst du uns dort eine Nachricht, bearbeiten wir sie wie eine E-Mail (Ziffern 8 und 16). Die Nachricht selbst speichert Meta; dafür gilt die Datenschutzrichtlinie von Meta.

Anzeigen. Werben wir bei Facebook oder Instagram für unsere Angebote – mit Anzeigen oder beworbenen Beiträgen –, entscheidet Meta anhand der Zielgruppe, die wir für eine Kampagne wählen, wem sie gezeigt werden. Wir erfahren nicht, wem sie gezeigt wurden, und erhalten nur zusammengefasste Zahlen, etwa wie oft eine Anzeige gezeigt oder angeklickt wurde. Klickst du auf eine Anzeige, öffnet sich unsere Website wie bei jedem anderen Link; ein Pixel oder Skript von Meta gibt es hier nicht (Ziffer 5). Meta hängt dabei meist eine eigene Klick-Kennung (fbclid) an die Adresse. Wir übernehmen sie nicht in unsere Formulare (Ziffer 7); sie steht aber wie jede aufgerufene Adresse in den Server-Logfiles (Ziffer 4). Öffnest du den Link in der App von Facebook oder Instagram, nutzt du deren eingebauten Browser; dafür gilt die Datenschutzrichtlinie von Meta. Führt eine Anzeige auf eine andere unserer Websites, gilt deren Datenschutzerklärung. Reaktionen und Kommentare unter einem beworbenen Beitrag sind wie unter jedem anderen Beitrag mit deinem Namen sichtbar.

Zweck und Rechtsgrundlage. Wir nutzen die Seiten und Anzeigen dort, um unser Unternehmen und unsere Leistungen vorzustellen, und die Statistiken, um zu verstehen, wie unsere Beiträge ankommen – Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Unternehmen und Interessierte auch bei Facebook und Instagram zu erreichen. Du kannst dem nach Art. 21 Abs. 1 DSGVO widersprechen (Ziffer 3). Welche Werbung Meta dir zeigt, kannst du außerdem in den Werbeeinstellungen deines Kontos bei Facebook bzw. Instagram beeinflussen. Anbieter für Nutzer in der EU:

Meta Platforms Ireland Limited
Merrion Road
Dublin 4, D04 X2K5, Irland
Datenschutzrichtlinie (für Facebook und Instagram): facebook.com/privacy/policy
Informationen zu den Statistikdaten: facebook.com/legal/terms/information_about_page_insights_data
Datenschutzbeauftragter von Meta: facebook.com/help/contact/540977946302970

13. Übermittlung in Länder außerhalb der EU

Eine Übermittlung deiner Daten durch uns in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist nicht beabsichtigt, mit einer Ausnahme: Schreibst du uns per WhatsApp, gibt WhatsApp als unser Auftragsverarbeiter die Kontaktdaten in unserem Konto an die WhatsApp LLC und die Meta Platforms, Inc. in den USA weiter (unten, „WhatsApp“). Hosting, Zugriffsstatistik und E-Mail-Versand dieser Website finden in Deutschland statt. Stimmst du der Messung unserer Google-Anzeigen zu, gehen Daten aus deinem Browser an Google, das sie auch in den USA verarbeitet (unten, „Google“).

Postfach und Videokonferenzen. Unser Microsoft-365-Mandant liegt in Europa; Microsoft verarbeitet die Daten aus Postfach (auch die Werbe-E-Mails an Teilnehmende des Gewinnspiels, Ziffer 17), Ablage und Teams im Rahmen der EU-Datengrenze innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland findet nur in den vom Anbieter dokumentierten Ausnahmen statt, etwa beim technischen Support, wenn eine Störung von außerhalb der EU bearbeitet werden muss. Dafür stützt sich Microsoft auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; eine Kopie bekommst du auf Anfrage unter info@gefim.de.

Google. Mit deiner Einwilligung (Ziffer 18) verarbeitet Google Ireland Limited die Daten als eigener Verantwortlicher und übermittelt sie nach eigenen Angaben an die Google LLC in den USA, unter Umständen über weitere Google-Standorte außerhalb des Europäischen Wirtschaftsraums. Die Google LLC ist nach eigenen Angaben nach dem EU-U.S. Data Privacy Framework zertifiziert; Google stützt die Übermittlung für Google Ads darauf (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO). Für diese Übermittlung ist Google verantwortlich. Fällt der Angemessenheitsbeschluss weg, schalten wir die Messung ab.

LinkedIn. Nach eigenen Angaben teilt LinkedIn Daten seiner Mitglieder mit der LinkedIn Corporation in den USA und stützt sich dafür auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und auf Standardvertragsklauseln. Für diese Übermittlung ist LinkedIn verantwortlich.

Facebook und Instagram. Nach eigenen Angaben überträgt Meta Daten, auch die für die Statistiken unserer Seiten und für die Ausspielung von Anzeigen, an die Meta Platforms, Inc. in den USA und stützt sich dafür auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und auf Standardvertragsklauseln. Für diese Übermittlung ist Meta verantwortlich.

WhatsApp. Schreibst du uns per WhatsApp, verarbeitet WhatsApp Daten auch in den USA, bei der WhatsApp LLC und der Meta Platforms, Inc. Nach eigenen Angaben sind beide Unternehmen nach dem EU-U.S. Data Privacy Framework zertifiziert. Für die Daten, die WhatsApp für den eigenen Betrieb verarbeitet, stützt sich WhatsApp auf dieses Framework (Art. 45 DSGVO) und auf Standardvertragsklauseln; für diese Übermittlung ist WhatsApp verantwortlich. Für die Kontaktdaten in unserem Konto, die WhatsApp als unser Auftragsverarbeiter verarbeitet (Ziffer 8), stützt WhatsApp die Weitergabe an diese beiden Unternehmen nach seinem Zusatz zur Datenübermittlung auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO) und behält sich Standardvertragsklauseln vor. Die Inhalte deiner Nachrichten bleiben dabei Ende-zu-Ende-verschlüsselt. Nach eigenen Angaben kann WhatsApp sie nicht lesen, außer bei einer Meldung (Ziffer 8). Einen Text aus unserem WhatsApp-Fenster, den du noch nicht abgeschickt hast, erhält WhatsApp nur auf dem Transportweg verschlüsselt (Ziffer 8).

14. Keine automatisierte Entscheidung, kein Profiling

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO ein. Auch beim TISAX®-Rechner entscheidet kein Programm über dich: Die Preistendenz ist eine Rechnung nach festem Schema, kein Angebot, und sie hat keine rechtliche Wirkung. Wem Google, LinkedIn oder Meta unsere Anzeigen zeigen, entscheiden diese Anbieter (Ziffern 7, 11 und 12). Dafür nutzen sie ihre eigenen Profile; das regeln ihre Datenschutzerklärungen. Das gilt für unsere eigene Verarbeitung. Die Erfolgsmessung mit deiner Einwilligung (Ziffer 18) nutzt Google, um zusammengefasste Zahlen zu unseren Anzeigen zu bilden und – wenn wir das einstellen – die Gebote für unsere Anzeigen zu steuern; personalisierte Werbung schließen wir dabei aus. Wie die GRENKE AG über eine Finanzierung entscheidet, steht in Ziffer 10.

Auch beim Gewinnspiel entscheidet kein Programm über dich (Ziffer 17): Das Los zieht ein Skript per Zufall, ohne deine Angaben zu bewerten. Von sich aus fasst es nur Anmeldungen mit gleichem Namen, gleicher Rechtsform und gleichem Ort zusammen; ob bei anderen Hinweisen derselbe Rechtsträger vorliegt (Teilnahmebedingungen Ziffer 3 Abs. 3), entscheiden wir selbst, und ob das gezogene Unternehmen den Gewinn bekommt, prüfen wir ebenfalls selbst. Welche Werbe-E-Mails wir dir zuerst schicken und ob wir dich anrufen, entscheiden Menschen anhand deiner Angaben im Formular und deiner Häkchen; ein Programm bewertet oder sortiert dich dabei nicht.

15. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um deine Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen. Auf dieser Website konkret:

• Verschlüsselte Übertragung. Die Seiten werden nur über HTTPS ausgeliefert; Aufrufe über HTTP werden umgeleitet, und der Strict-Transport-Security-Header weist deinen Browser an, unsere Seiten künftig nur verschlüsselt aufzurufen.
• Strikte Content-Security-Policy. Dein Browser darf Inhalte nur von unserem eigenen Server laden – mit einer Ausnahme: die Adressen von Google, die das Google-Tag zur Erfolgsmessung braucht; Skripte nur von www.googletagmanager.com. Unser Skript lädt das Google-Tag nur nach deiner Einwilligung (Ziffer 18). Andere fremde Skripte, Schriften, Bilder oder eingebettete Fenster sind technisch ausgeschlossen.
• Weitere Schutzvorgaben. Die Seiten dürfen nicht in fremde Seiten eingebettet werden, Dateitypen werden nicht erraten, Kamera, Mikrofon und Standortbestimmung sind für diese Seite abgeschaltet, und bei Links auf andere Websites wird nur unsere Domain als Herkunft übermittelt.
• Zugriffsschutz auf dem Server. Konfigurations- und Zugangsdateien sind nicht abrufbar. Die Zugriffsstatistik aus Ziffer 4 liegt hinter einem Passwortschutz. Das Formular-Skript nimmt Eingaben nur per POST an, begrenzt die Größe jeder Anfrage und prüft jede Eingabe gegen feste Vorgaben.
• Datensparsamkeit. Was nicht gespeichert wird, kann nicht abfließen: Auf dem Webserver entsteht keine Datenbank mit Anfragen, und Fehlermeldungen in den technischen Protokollen enthalten keine Namen, Adressen oder Nachrichteninhalte.
• Interner Zugriff. Auf eingehende Anfragen greifen nur die Personen zu, die sie bearbeiten. Das gilt auch für unsere Chats per WhatsApp (Ziffer 8).

16. Aufbewahrung und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder gesetzliche Aufbewahrungspflichten es verlangen.

Aufbewahrung nach Datenart

Daten	Aufbewahrung
Server-Logfiles	30 Tage; IP-Adressen darin anonymisiert (Ziffer 4)
Berichte der Zugriffsstatistik (Webalizer)	längstens 24 Monate (Ziffer 4)
Prüfwerte des Missbrauchsschutzes zu IP-Adresse und E-Mail-Adresse	nach 15 Minuten bzw. mit Ablauf des Tages ohne Funktion; automatische Löschung bei einer späteren Nutzung eines unserer Formulare, spätestens bei der ersten Nutzung eines neuen Tages (Ziffern 6 und 7)
Vermerk über einen bestätigten Link (ohne Adresse und Namen)	mit Ablauf des Links (sieben Tage nach der Anforderung) ohne Funktion; danach automatische Löschung bei einer späteren Nutzung eines unserer Formulare (Ziffer 7)
Protokoll-E-Mails des TISAX®-Rechners, der BCM-Broschüre, des TISAX®-Workbooks, des TISAX®-Starterpakets, der Checkliste VDA ISA 2027, des Leitfadens „Schluss mit Zettelwirtschaft“, der Checkliste „Verdächtiger Support-Anruf“ und des Notfallplans Cyberangriff (Ziffer 7)	ohne Bestätigung 30 Tage nach Ablauf des Bestätigungslinks; mit Bestätigung als Einwilligungsnachweis bis drei Jahre nach Ablauf des Jahres der Bestätigung
Dokumente, die du zur Prüfung schickst (TISAX®-Starterpaket, Ziffer 7)	spätestens 30 Tage nach unserer Rückmeldung, auch wenn danach ein Auftrag folgt
Anfragen (auch über den TISAX®-Rechner), die zu keiner Geschäftsbeziehung führen	Löschung, sobald die Anfrage abschließend bearbeitet ist und nichts dafür spricht, dass du darauf zurückkommst – in der Regel spätestens sechs Monate nach dem letzten Kontakt
Anfragen, die zu einer Geschäftsbeziehung führen	für die Dauer der Geschäftsbeziehung, danach nach den folgenden Fristen
Handels- und Geschäftsbriefe, zum Beispiel Angebote und Auftragsbestätigungen	sechs Jahre (§ 257 Abs. 1 Nr. 2 und 3, Abs. 4 HGB; § 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO)
Buchungsbelege und Rechnungen, auch in DATEV Unternehmen online	acht Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB in der seit dem Vierten Bürokratieentlastungsgesetz geltenden Fassung)
Bericht und Notizen aus einem CyberRisikoCheck (Ziffer 10)	für die Dauer des Auftrags, danach, soweit zur Durchsetzung oder Abwehr von Ansprüchen erforderlich, bis zum Ablauf der Verjährung; was zugleich Geschäftsbrief oder Buchungsbeleg ist, nach den Fristen dafür (oben)
Protokoll-E-Mail zum Gewinnspiel nach deiner Bestätigung, mit deinen Angaben und dem Nachweis deiner Einwilligungen (Ziffer 17)	mit Einwilligung in Werbe-E-Mails bis drei Jahre nach Ende des Jahres, in dem du widerrufen hast oder wir dir die letzte Werbe-E-Mail geschickt haben
Liste der Adressen mit Einwilligung in Werbe-E-Mails und Sperrliste nach einem Widerruf (Ziffer 17)	solange wir Werbe-E-Mails an Teilnehmende des Gewinnspiels verschicken; nach einem Widerruf bleibt nur dein Eintrag auf der Sperrliste
Arbeitsdateien der Auslosung auf unserem Arbeitsrechner (Ziffer 17)	Löschung, sobald der Gewinn vergeben ist, spätestens drei Monate nach der Auslosung
Protokoll der Auslosung: Unternehmen im Lostopf mit Ort, nicht gezählte Anmeldungen, Ansprechpersonen von Gewinner und Nachrückern (Ziffer 17)	bis 31. Dezember 2029 (drei Jahre nach Ende des Jahres der Auslosung)
Benachrichtigung und Schriftverkehr mit dem gewinnenden Unternehmen und mit Nachrückern, die zum Zug kommen (Ziffer 17)	nach der Frist für Handels- und Geschäftsbriefe (oben)
Chats und Anrufliste per WhatsApp auf unseren Geräten (Ziffer 8)	ohne Geschäftsbeziehung Löschung, sobald dein Anliegen abschließend bearbeitet ist und nichts dafür spricht, dass du darauf zurückkommst, in der Regel spätestens sechs Monate nach dem letzten Kontakt; mit Geschäftsbeziehung für deren Dauer, danach Löschung. Was davon Handels- oder Geschäftsbrief ist, etwa eine Bestellung, ein Auftrag oder die Annahme eines Angebots, übernehmen wir zeitnah in Microsoft 365 und bewahren es nach der Frist für Handels- und Geschäftsbriefe auf (oben)
Daten bei WhatsApp selbst: Nachrichten bis zur Zustellung, Meldungen, Kontodaten sowie Verbindungs- und Nutzungsdaten	regelt die Datenschutzrichtlinie von WhatsApp. Nach eigenen Angaben löscht WhatsApp zugestellte Nachrichten von seinen Servern und nicht zustellbare nach 30 Tagen; Meldungen bewahrt WhatsApp in der Regel 90 Tage auf (Ziffer 8)
Deine Entscheidung im Einwilligungsbanner (Eintrag „gefim-einwilligung“ im Local Storage deines Browsers, Ziffer 5)	6 Monate; danach fragt das Banner neu, wenn du wieder über eine Anzeige kommst. Löschen kannst du den Eintrag selbst über die Websitedaten deines Browsers
_gcl_aw, _gcl_au, _gcl_gb, _gcl_gs, _gcl_ag, _gac_gb_… (Cookies auf gefim.de, gesetzt von Google, nur mit Einwilligung, Ziffer 18)	90 Tage ab dem letzten Setzen; lehnst du ab oder widerrufst du, entfernt unser Skript sie sofort; ist deine Einwilligung abgelaufen, beim nächsten Lesen deiner Entscheidung (nächste Ankunft über eine Anzeige oder Danke-Seite)
_gcl_ls (Eintrag im Local Storage, gesetzt von Google, nur mit Einwilligung, Ziffer 18)	die Laufzeit legt Google fest (im Test 90 Tage je Wert); lehnst du ab oder widerrufst du, entfernt unser Skript den Eintrag sofort; ist deine Einwilligung abgelaufen, beim nächsten Lesen deiner Entscheidung (nächste Ankunft über eine Anzeige oder Danke-Seite)
Daten bei Google aus der Erfolgsmessung (Ziffer 18)	regelt die Datenschutzerklärung von Google; in Google Ads sehen wir nur zusammengefasste Zahlen ohne Bezug zu einzelnen Personen
Statistiken und Follower-Liste unserer LinkedIn-Unternehmensseite	Statistiken erhalten wir nur zusammengefasst; die Follower-Liste zeigt nur, wer der Seite derzeit folgt. Wie lange LinkedIn die Daten speichert, regelt die Datenschutzerklärung von LinkedIn (Ziffer 11)
Statistiken und Follower unserer Seite bei Facebook und unseres Profils bei Instagram	Statistiken erhalten wir nur zusammengefasst; die Liste der Follower zeigt nur, wer uns derzeit folgt. Wie lange Meta die Daten speichert, regelt die Datenschutzrichtlinie von Meta (Ziffer 12)
Zahlen zu unseren Anzeigen bei Google und LinkedIn sowie bei Facebook und Instagram, wenn wir dort werben	nur zusammengefasst, ohne Bezug zu einzelnen Personen; wie lange die Anbieter Daten speichern, regeln ihre Datenschutzerklärungen (Ziffern 7, 11 und 12)

Die handels- und steuerrechtlichen Fristen beginnen mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist (§ 257 Abs. 5 HGB, § 147 Abs. 4 AO). In dieser Zeit ist die Verarbeitung auf die Aufbewahrung beschränkt; danach löschen wir die Daten, auch in DATEV Unternehmen online.

17. Gewinnspiel: Teilnahme und Werbe-E-Mails mit Einwilligung

Vom 28. Oktober 2026 bis 30. November 2026, 23:59 Uhr kann dein Unternehmen an unserem Gewinnspiel teilnehmen; zu gewinnen ist ein Beratungsguthaben. Die Regeln stehen in den Teilnahmebedingungen. Hier steht, was dabei mit deinen Daten passiert. Teilnehmer ist dein Unternehmen, du meldest es an.

Welche Daten.

• im Formular als Pflichtangaben: Name deines Unternehmens und Ort des Firmensitzes, wie viele Mitarbeitende es hat, dein Vor- und Nachname und deine geschäftliche E-Mail-Adresse, dazu deine Bestätigung, dass dein Unternehmen teilnehmen darf (Sitz in Deutschland, kein laufender Vertrag mit uns, du bist volljährig und darfst es anmelden). Den Ort brauchen wir, um zu prüfen, ob dein Unternehmen in Deutschland sitzt und ob es schon teilnimmt;
• im Formular freiwillig: wofür und ab wann dein Unternehmen das Guthaben nutzen würde und deine Funktion im Unternehmen. Lässt du diese Fragen aus, nimmt dein Unternehmen genauso teil;
• freiwillig deine Telefonnummer – nur zusammen mit dem Häkchen für Anrufe, ohne dieses Häkchen übernehmen wir sie nicht;
• deine Häkchen mit dem genauen Wortlaut und seiner Fassung: die Einwilligung in Werbe-E-Mails (Voraussetzung der Teilnahme), freiwillig die Einwilligung in Anrufe und, wenn du es ankreuzt, dein Wunsch nach einem Erstgespräch;
• zum Nachweis deiner Einwilligungen: der Zeitpunkt der Anmeldung, Zeitpunkt, IP-Adresse und Browserkennung deines Bestätigungsklicks und die Seite, von der aus du das Formular abgeschickt hast;
• woher du kamst: die Stelle, von der der Link auf das Gewinnspiel stammt (etwa der Hinweis auf dieser Website, die Fußzeile, eine E-Mail-Signatur, LinkedIn oder eine unserer anderen Websites), die Seite, auf der du den Hinweis gesehen hast, und gegebenenfalls ein Kampagnenname. Diese Werte stehen sichtbar in der Adresse, stammen aus einer festen Liste zulässiger Angaben und enthalten nichts über dich; alles andere verwerfen wir (wie in Ziffer 7, „Woher deine Anfrage kommt“).

So läuft es ab. Nach dem Absenden bekommst du eine Bestätigungs-E-Mail. Diese nennt weder dein Unternehmen noch deinen Namen oder deine Telefonnummer – nur einen Link, der sieben Tage gilt, längstens bis zum Teilnahmeschluss am 30. November 2026, 23:59 Uhr. Der Link öffnet eine Seite, auf der deine Angaben und der Wortlaut deiner Einwilligungen noch einmal stehen; erst dein Klick auf den Knopf dort zählt als Bestätigung. Bestätigst du nicht, ist dein Unternehmen nicht im Lostopf, und wir schicken dir keine Werbe-E-Mails.

Keine Datenbank auf dem Webserver. Wie in Ziffer 7 stehen deine Angaben verschlüsselt im Bestätigungslink; auf dem Webserver speichern wir sie nicht. Erst nach deiner Bestätigung geht eine Protokoll-E-Mail mit deinen Angaben und dem Nachweis deiner Einwilligungen an unser Postfach info@gefim.de; ob die Adresse eine Firmenadresse ist, steht dabei mit. Bestätigst du nicht, bleibt von deiner Anmeldung nur der Prüfwert des Missbrauchsschutzes. Schutz vor Missbrauch, Prüfwerte und der Vermerk, dass ein Link schon bestätigt wurde, funktionieren wie in den Ziffern 6 und 7 beschrieben.

Auslosung. Nach dem Teilnahmeschluss lesen wir die bestätigten Teilnahmen aus den Protokoll-E-Mails auf einem Arbeitsrechner ein; auf den Webserver kommen sie nicht. Es zählen nur Daten aus unseren eigenen Protokoll-E-Mails, deren Echtheit das Skript anhand einer Prüfsumme erkennt. Je Unternehmen zählt die erste bestätigte Anmeldung. Hinweise auf dasselbe Unternehmen sind gleicher Name und Ort oder dieselbe Firmen-Domain der E-Mail-Adresse; ob es derselbe Rechtsträger ist (Teilnahmebedingungen Ziffer 3 Abs. 3), entscheiden wir selbst – nur bei gleichem Namen mit gleicher Rechtsform am selben Ort fasst das Skript die Anmeldungen von sich aus zusammen. Es berücksichtigt die Ausschlüsse der Teilnahmebedingungen, etwa für Unternehmen mit laufendem Vertrag, und zieht am 1. Dezember 2026 per Zufall das gewinnende Unternehmen und zwei Nachrücker. Darüber entsteht ein Protokoll: Es nennt die Unternehmen im Lostopf mit Ort, die nicht gezählten Anmeldungen mit Grund und für das gewinnende Unternehmen und die Nachrücker die Ansprechperson mit Funktion und E-Mail-Adresse. Das gewinnende Unternehmen benachrichtigen wir per E-Mail an die bestätigte Adresse und prüfen dann, ob es teilnehmen durfte. Für den Versand der Werbe-E-Mails erstellt das Skript außerdem eine Liste der Adressen mit Einwilligung, ohne die Adressen auf der Sperrliste.

Werbe-E-Mails und Anrufe

Was wir dir schicken. Mit deiner Einwilligung schicken wir dir an die angegebene Adresse Werbe-E-Mails, also Informationen und Angebote zu Beratung (Informationssicherheit, ISO 27001, TISAX®, NIS2, Datenschutz und Notfallvorsorge), IT-Betrieb und unseren Produkten certvia, visitvia und craftvia. Eine feste Zahl je Monat sagen wir nicht zu. Wir schicken die E-Mails selbst aus unserem Postfach bei Microsoft 365 (Ziffer 8), einzeln oder als Blindkopie, sodass niemand die Adressen der anderen sieht; einen Versanddienstleister nutzen wir nicht. Die E-Mails enthalten keine Zählpixel und keine Links, an denen wir dich erkennen; ob du sie öffnest oder etwas anklickst, messen wir nicht. Welche Themen wir dir zuerst schicken, richten wir nach deinen Angaben im Formular, etwa danach, wofür dein Unternehmen das Guthaben nutzen würde, wenn du das angegeben hast. Das entscheiden Menschen, kein Programm (Ziffer 14). Jede Werbe-E-Mail sagt dir, wie du dich abmeldest.

Anrufe. Nur wenn du das freiwillige Häkchen dafür setzt und deine Nummer angibst, rufen wir dich an, um mit dir über deinen Bedarf zu sprechen und dir ein Erstgespräch anzubieten. Kreuzt du auf der Bestätigungsseite an, dass du ein Erstgespräch möchtest, melden wir uns per E-Mail, um einen Termin abzustimmen.

Wortlaut deiner Einwilligungen (Fassung vom 28. Oktober 2026):

Über den Häkchen steht: „So funktioniert’s: Deine Gewinnchance bekommst du im Tausch gegen deine Erlaubnis, dass die GEFIM dir Werbe-E-Mails schicken darf. Ohne das Häkchen für Werbe-E-Mails kannst du deshalb nicht mitmachen. Abmelden kannst du dich jederzeit – deine Gewinnchance bleibt.“

Werbe-E-Mails: „Ja, die GEFIM UG (haftungsbeschränkt) darf mir an diese E-Mail-Adresse Werbe-E-Mails schicken, also Informationen und Angebote zu ihrer Beratung (Informationssicherheit, ISO 27001, TISAX®, NIS2, Datenschutz und Notfallvorsorge), zu ihrem IT-Betrieb und zu ihren Produkten certvia, visitvia und craftvia. Diese Einwilligung ist die Voraussetzung für meine Teilnahme am Gewinnspiel. Ich kann sie jederzeit mit Wirkung für die Zukunft widerrufen, mit einer kurzen Antwort auf eine dieser E-Mails oder an info@gefim.de. Meine Teilnahme an der Auslosung bleibt davon unberührt.“

Anrufe: „Freiwillig: Die GEFIM UG (haftungsbeschränkt) darf mich außerdem unter der Telefonnummer, die ich darunter angebe, anrufen, um mit mir über meinen Bedarf an Beratung, IT-Betrieb, certvia, visitvia oder craftvia zu sprechen und mir ein Erstgespräch anzubieten. Für die Teilnahme ist das nicht nötig. Ich kann das jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel an info@gefim.de.“

Teilnahme im Tausch gegen deine Einwilligung. Beim Gewinnspiel ist deine Einwilligung in Werbe-E-Mails die Voraussetzung für die Teilnahme: Deine Gewinnchance bekommst du im Tausch gegen diese Erlaubnis. Das sagen wir vorher deutlich – über dem Häkchen, im Hinweis auf das Gewinnspiel, in den Teilnahmebedingungen und hier. Ob du diesen Tausch eingehst, entscheidest du frei: Ohne Teilnahme entgeht dir nur die Gewinnchance. Erstgespräch, Unterlagen und alle anderen Angebote dieser Website bekommst du ohne Einwilligung in Werbung, und für die Teilnahme selbst musst du nichts kaufen und nichts beauftragen. Widerrufst du die Einwilligung später, bleibt dein Unternehmen im Lostopf.

Widerruf. Du kannst deine Einwilligung in Werbe-E-Mails und in Anrufe jederzeit mit Wirkung für die Zukunft widerrufen, mit einer kurzen Antwort auf eine unserer E-Mails oder an info@gefim.de. Danach schicken wir dir keine Werbung mehr und setzen deine Adresse auf eine Sperrliste, damit das so bleibt. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). Deine Teilnahme an der Auslosung und ein Gewinn deines Unternehmens bleiben davon unberührt.

Der Hinweis auf dieser Website

Bis zum Ende des Gewinnspiels am 30. November 2026, 23:59 Uhr weisen wir auf vielen Seiten dieser Website mit einem Fenster oder einer Karte darauf hin und mit einer schmalen Leiste am unteren Bildschirmrand (wann sie erscheint, steht unten) – nicht aber zum Beispiel auf Rechtstexten wie dieser Seite, auf der Soforthilfe, auf den Seiten für Erstgespräch und Kontakt und auf Danke-Seiten. Damit der Hinweis nur einmal je Besuch erscheint und zu deinem Bildschirm passt, liest ein kleines Skript in deinem Browser beim Aufruf einer Seite diese Werte:

• die Herkunftsseite (Referrer): ob du von einer anderen Website kommst oder innerhalb von gefim.de weiterklickst – dein Browser schickt sie beim Aufruf ohnehin an unseren Server (Ziffer 4);
• die Art des Seitenaufrufs: ob du die Seite neu geladen oder mit „Zurück“ oder „Vorwärts“ geöffnet hast;
• Datum und Uhrzeit deines Geräts, damit der Hinweis nur im Teilnahmezeitraum erscheint und Fristangaben wie „Heute, 23:59 Uhr“ stimmen;
• Breite und Höhe des Browserfensters, um zu prüfen, ob das Fenster ohne Scrollen hineinpasst – sonst erscheint eine Karte;
• die Adresse der geöffneten Seite: Enthält sie ein Sprungziel (#…) oder die Klick-Kennung einer Google-Anzeige, gehen Fenster und Karte nicht auf, und auch die schmale Leiste unten erscheint nicht – damit du ungestört dort ankommst, wohin du wolltest; außerdem erkennt das Skript daran einen Prüfschalter (gewinnspiel-vorschau), mit dem wir Hinweis und Leiste testen;
• den Eintrag gefim-gewinnspiel-leiste im Session Storage, falls du die Leiste in diesem Browser-Tab ausgeblendet hast (siehe unten).

Das Skript setzt kein Cookie, legt nichts im Local Storage ab und schickt keinen dieser Werte an unseren Server oder an andere. Ob du das Fenster oder die Karte geschlossen hast, merkt es sich nicht: Kommst du bei einem späteren Besuch wieder von außen, erscheint der Hinweis erneut. Ohne JavaScript erscheinen weder Hinweis noch Leiste; die Seite funktioniert trotzdem. Klickst du auf „Jetzt teilnehmen“, öffnet sich die Seite des Gewinnspiels; ihre Adresse nennt dann die Stelle des Hinweises (Fenster, Karte oder Leiste) und die Seite, auf der du ihn gesehen hast (siehe oben, „woher du kamst“).

Die Leiste und ihr Eintrag im Session Storage. Die Leiste erscheint, sobald du das Fenster oder die Karte geschlossen hast, und sofort auf jeder Seite, auf der keines von beiden aufgeht – auch schon auf der ersten Seite deines Besuchs –, bis du sie mit dem Kreuz („Gewinnspiel-Leiste ausblenden“) ausblendest; nicht aber auf einer Seite, deren Adresse ein Sprungziel oder die Klick-Kennung einer Google-Anzeige enthält (siehe oben). Damit sie dann auch auf den folgenden Seiten ausgeblendet bleibt, speichert das Skript im Session Storage deines Browsers einen einzigen Eintrag: Name gefim-gewinnspiel-leiste, Inhalt „zu“. Er dient nur dazu, deinen Wunsch „ausblenden“ umzusetzen, gilt für diesen Browser-Tab und endet, wenn du ihn schließt (duplizierst du den Tab oder öffnet dein Browser einen geschlossenen Tab wieder, kann er den Eintrag mitnehmen). Er ist kein Cookie, enthält keine Kennung und keine Angaben über dich und wird nicht an uns oder andere übertragen. Lässt dein Browser das Speichern nicht zu, gilt das Ausblenden nur für die gerade geöffnete Seite. Außer deiner Entscheidung im Einwilligungsbanner ist das die einzige Information, die diese Website ohne deine Einwilligung in deinem Browser ablegt (Ziffer 5).

Unsere Einschätzung nach § 25 TDDDG. Eine Einwilligung nach § 25 Abs. 1 TDDDG holen wir dafür nicht ein. Die Herkunftsseite schickt dein Browser beim Aufruf ohnehin an unseren Server, die übrigen Werte – außer dem Eintrag der Leiste, dazu der nächste Absatz – stellt er jeder Seite von sich aus bereit. Das Skript nutzt sie nur, um zu entscheiden, ob und wie der Hinweis erscheint; sie verlassen dein Gerät nicht, und personenbezogene Daten erhalten wir dadurch nicht. Sieht man im Lesen dieser Werte trotzdem einen Zugriff auf Informationen in deiner Endeinrichtung, ist er nach unserer Einschätzung unbedingt erforderlich, um dir die Website, die du aufgerufen hast, mit diesem Hinweis so anzuzeigen, dass er dich höchstens einmal je Besuch unterbricht (§ 25 Abs. 2 Nr. 2 TDDDG). Abschließend geklärt ist diese Frage rechtlich nicht.

Für den Eintrag der Leiste holen wir ebenfalls keine Einwilligung ein: Ihn zu speichern und auf den folgenden Seiten auszulesen ist unbedingt erforderlich, um den Zustand „Leiste aus“ herzustellen, den du mit dem Klick auf das Kreuz ausdrücklich wünschst (§ 25 Abs. 2 Nr. 2 TDDDG). Personenbezogene Daten verarbeiten wir dabei nicht – der Eintrag sagt nichts über dich und verlässt dein Gerät nicht –, eine Rechtsgrundlage nach der DSGVO braucht es dafür deshalb nicht.

Zwecke, Rechtsgrundlagen, Speicherdauer und Empfänger

• Durchführung des Gewinnspiels – Anmeldung, Bestätigung, Prüfung der Teilnahmeberechtigung, Auslosung, Benachrichtigung und Übergabe des Gewinns: Meldest du dich für dich selbst an, etwa als Einzelunternehmer, erfüllen wir damit die Teilnahmebedingungen, Art. 6 Abs. 1 lit. b DSGVO. Meldest du ein Unternehmen an, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, das Gewinnspiel mit dem angemeldeten Unternehmen durchzuführen.
• Größe deines Unternehmens (Pflichtangabe) – damit werten wir die Aktion aus und bereiten Informationen und Gespräche passend zu deinem Unternehmen vor: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, zu sehen, welche Unternehmen die Aktion erreicht, und dir Angebote zu machen, die zur Größe deines Unternehmens passen. Für die Prüfung, ob dein Unternehmen teilnehmen darf, und für die Auslosung nutzen wir die Größe nicht; eine Mindestgröße gibt es nicht.
• Auswahl der Themen und Vorbereitung eines Gesprächs – mit deinen freiwilligen Angaben zu Thema, Startzeitraum und deiner Funktion wählen wir aus, welche Informationen und Angebote wir dir schicken, und bereiten ein Gespräch vor: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist Direktwerbung, die zu deinem Vorhaben passt. Deine Interessen überwiegen nicht, weil du selbst entscheidest, ob du diese Fragen beantwortest, und wir die Antworten nur dafür nutzen. Für die Teilnahme sind sie nicht nötig. Dieser Nutzung kannst du jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), etwa an info@gefim.de; dein Unternehmen bleibt dann im Lostopf.
• Werbe-E-Mails – deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Für Werbung per E-Mail verlangt auch § 7 Abs. 2 Nr. 2 UWG deine vorherige ausdrückliche Einwilligung.
• Anrufe – nur mit deiner freiwilligen Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.
• Erstgespräch auf deinen Wunsch – vorvertragliche Maßnahme, Art. 6 Abs. 1 lit. b DSGVO, wenn du für dich selbst anfragst, sonst Art. 6 Abs. 1 lit. f DSGVO wie in Ziffer 6.
• Nachweis deiner Einwilligungen (Art. 7 Abs. 1 DSGVO) mit den Protokoll-E-Mails und Sperrliste nach einem Widerruf – Art. 6 Abs. 1 lit. c und f DSGVO; unser berechtigtes Interesse ist, belegen zu können, dass und wozu du eingewilligt hast, und sicherzustellen, dass du nach einem Widerruf keine Werbung mehr bekommst.
• Missbrauchsschutz und Herkunftsangaben – Art. 6 Abs. 1 lit. f DSGVO wie in den Ziffern 6 und 7; Protokoll der Auslosung – Art. 6 Abs. 1 lit. f DSGVO, um nachweisen zu können, dass korrekt ausgelost wurde.
• Veröffentlichung – den Namen des gewinnenden Unternehmens nennen wir nur, wenn es nach der Auslosung gesondert zustimmt (Art. 6 Abs. 1 lit. a DSGVO), sonst gar nicht.

Soweit wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen, kannst du widersprechen (Ziffer 3). Pflicht zur Bereitstellung: Du musst uns keine Daten geben. Ohne die Pflichtangaben und ohne die Einwilligung in Werbe-E-Mails kann dein Unternehmen aber nicht teilnehmen; weitere Nachteile entstehen dir nicht. Die Fragen zu Thema, Startzeitraum und Funktion sind freiwillig.

Speicherdauer. Bestätigst du nicht, entsteht keine Protokoll-E-Mail. Hast du in Werbe-E-Mails eingewilligt, bewahren wir die Protokoll-E-Mail mit deinen Angaben und dem Nachweis deiner Einwilligungen auf, solange wir dir schreiben dürfen, und danach bis drei Jahre nach Ende des Jahres, in dem du widerrufen hast oder wir dir die letzte Werbe-E-Mail geschickt haben. Denn Ansprüche wegen dieser E-Mails verjähren in der Regel erst drei Jahre nach Ende des Jahres, in dem sie entstanden sind (§§ 195 und 199 BGB); bis dahin brauchen wir den Nachweis (Art. 17 Abs. 3 lit. e DSGVO). Die Sperrliste führen wir, solange wir Werbe-E-Mails verschicken; so lange bleibt auch dein Eintrag darauf, damit du nach einem Widerruf sicher keine Werbung mehr bekommst. Die Arbeitsdateien der Auslosung löschen wir, sobald der Gewinn vergeben ist, spätestens drei Monate nach der Auslosung; das Protokoll der Auslosung bewahren wir bis 31. Dezember 2029 auf, um eine korrekte Auslosung nachweisen zu können. Benachrichtigung und Schriftverkehr mit dem gewinnenden Unternehmen und mit Nachrückern, die zum Zug kommen, sowie Angebot, Vertrag und Rechnungen bewahren wir nach den Fristen in Ziffer 16 auf.

Empfänger. Das Formular-Skript und den Versand der Bestätigungs- und Protokoll-E-Mails übernimmt unser Hoster, unser Postfach und den Versand der Werbe-E-Mails Microsoft 365, die Telefonanlage für Anrufe Placetel, jeweils als Auftragsverarbeiter (Ziffern 4, 8 und 9). Löst das gewinnende Unternehmen das Guthaben ein, gilt Ziffer 10. Darüber hinaus geben wir nichts weiter: kein Versanddienstleister, keine Weitergabe an andere Unternehmen und kein Verkauf von Adressen.

18. Erfolgsmessung unserer Google-Anzeigen mit deiner Einwilligung

Worum es geht. Wir bezahlen Google für Anzeigen. Damit wir sehen, welche Anzeigen und Suchbegriffe zu Anfragen führen, und kein Geld für wirkungslose Anzeigen ausgeben, nutzen wir – nur mit deiner Einwilligung – die Conversion-Messung von Google Ads. Stellen wir es ein, steuert Google damit auch die Gebote für unsere Anzeigen. Danach fragt das Banner, wenn du über eine Google-Anzeige kommst (Ziffer 5, „Das Einwilligungsbanner und deine Datenschutz-Einstellungen“). Ohne Einwilligung lädt nichts von Google.

Was nach deiner Zustimmung geschieht:

• Auf der Seite, auf der du über die Anzeige ankommst, lädt dein Browser das Google-Tag (gtag.js) von www.googletagmanager.com. Es liest die Klick-Kennung der Anzeige aus der Adresse und legt sie in Cookies auf gefim.de ab (unten, „Speicherdauer“).
• Auf der Danke-Seite nach einer Anfrage über unser Anfrageformular (Erstgespräch, Kontakt, Rückruf), nach der Anforderung des TISAX®-Starterpakets oder nach der Bestätigung des TISAX®-Starterpakets lädt das Google-Tag erneut und meldet Google genau eine Conversion, je nach Anfrage „Erstgespräch-Anfrage“, „Starterpaket angefordert“ oder „Starterpaket bestätigt“. Google ordnet sie anhand der Cookies dem Anzeigenklick zu. Bestätigst du die Anforderung des TISAX®-Starterpakets in einem anderen Browser oder auf einem anderen Gerät, kann Google die Bestätigung nicht zuordnen.
• Auf allen anderen Seiten lädt nichts von Google – auch nicht mit Einwilligung, etwa nach einer Anforderung über den TISAX®-Rechner, beim Workbook, bei den Checklisten oder beim Gewinnspiel.

Welche Daten Google erhält: deine IP-Adresse, Angaben zu Browser, Betriebssystem und Gerät, Titel und Adresse der Seite – ohne die Angaben nach dem „?“, also ohne Herkunftsangabe und Anliegen –, die ebenso gekürzte Adresse der Seite, von der du kamst, den Zeitpunkt, die Klick-Kennung der Anzeige, die Kennungen aus den Cookies und auf der Danke-Seite die Art der Conversion. Die IP-Adresse ist technisch nötig, damit sich dein Browser mit Google verbindet. Die Angaben nach dem „?“ in der Adresse – bei uns etwa die Herkunftsangabe (Ziffer 7) und auf der Danke-Seite dein Anliegen – lässt unser Skript weg, bevor es das Google-Tag startet; nur die Klick-Kennung der Anzeige bleibt auf der Ankunftsseite stehen, weil Google sie für die Zuordnung braucht. Nicht an Google gehen dein Name, deine E-Mail-Adresse, deine Telefonnummer und alles, was du in Formulare schreibst; erweiterte Conversions (Abgleich verschlüsselter Kontaktdaten) und die automatische Erfassung von Formularen nutzen wir nicht. Auf eigenen Domains, etwa google.com, googleadservices.com und doubleclick.net, kann Google weitere Cookies setzen oder auslesen. Welche Cookies Google für Google Ads verwendet, beschreibt Google unter business.safety.google/adscookies.

Was wir erhalten. In Google Ads sehen wir zusammengefasste Zahlen – etwa wie viele Conversions eine Kampagne, eine Anzeigengruppe oder ein Suchbegriff gebracht hat. Wir werten sie nur so aus und gleichen sie nicht mit unseren Protokoll-E-Mails (Ziffer 7) ab.

Kein Remarketing, keine personalisierte Werbung. Das Google-Tag läuft bei uns im einfachen Modus des Einwilligungsmodus von Google: Es wird erst nach deiner Zustimmung geladen. Werbe-Cookies und das Senden von Daten für die Messung erlauben wir nur mit deiner Einwilligung (ad_storage, ad_user_data); personalisierte Werbung und Analyse lehnen wir immer ab (ad_personalization, analytics_storage) und teilen Google zusätzlich mit, dass die Daten nicht für personalisierte Werbung genutzt werden dürfen. Zielgruppen für Remarketing legen wir nicht an.

Wer verantwortlich ist. Für das Erheben der Daten über das Google-Tag auf unserer Website und ihre Übermittlung an Google sind wir nach unserer Einschätzung zusammen mit Google verantwortlich. So hat der Gerichtshof der Europäischen Union die Einbindung eines Social Plugins bewertet, das den Browser Daten an seinen Anbieter schicken lässt (Urteil vom 29. Juli 2019, C-40/17, Rn. 85); für diesen Schritt holen wir deine Einwilligung ein und informieren dich hier (ebd., Rn. 102 und 105). Was Google nach der Übermittlung mit den Daten macht, verantwortet Google allein. Nach eigenen Angaben nutzt Google solche Daten auch für eigene Zwecke, etwa um den ungefähren Standort zu ermitteln und die Wirksamkeit von Werbung zu messen (policies.google.com/technologies/partner-sites). In seinen Datenschutzbedingungen für Google Ads (Controller-Controller Data Protection Terms) behandelt Google uns beide als voneinander unabhängige Verantwortliche. Deine Rechte (Ziffer 3) kannst du bei uns und bei Google geltend machen. Für Nutzer im Europäischen Wirtschaftsraum ist das die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Datenschutzerklärung: policies.google.com/privacy. Google übermittelt Daten auch an die Google LLC in den USA (Ziffer 13).

Rechtsgrundlage. Für das Speichern der Cookies auf deinem Gerät und ihr Auslesen § 25 Abs. 1 TDDDG, für die Verarbeitung deiner Daten und ihre Übermittlung an Google Art. 6 Abs. 1 lit. a DSGVO – jeweils deine Einwilligung. Beides fragen wir mit einer Frage ab. Die Einwilligung ist freiwillig: Lehnst du ab, funktionieren alle Formulare gleich, und wir sehen nur die Herkunftsangabe in unserer Protokoll-E-Mail (Ziffer 7).

Widerruf. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über „Datenschutz-Einstellungen“ unten auf jeder Seite oder direkt hier: Datenschutz-Einstellungen öffnen. Unser Skript löscht dann die Google-Cookies auf gefim.de und den Eintrag _gcl_ls und lädt das Google-Tag nicht mehr. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO); was Google bis dahin erhalten hat, speichert Google nach seiner Datenschutzerklärung.

Speicherdauer. Auf deinem Gerät:

• _gcl_aw, _gcl_au, _gcl_gb, _gcl_gs, _gcl_ag, _gac_gb_… (Cookies auf gefim.de, gesetzt von Google): Klick-Kennung der Anzeige und Zuordnung einer späteren Anfrage zu diesem Klick; 90 Tage ab dem letzten Setzen; lehnst du ab oder widerrufst du, entfernt unser Skript sie sofort; ist deine Einwilligung abgelaufen, beim nächsten Lesen deiner Entscheidung (nächste Ankunft über eine Anzeige oder Danke-Seite).
• _gcl_ls (Eintrag im Local Storage, gesetzt von Google): derselbe Zweck wie die _gcl-Cookies; die Laufzeit legt Google fest (im Test 90 Tage je Wert); lehnst du ab oder widerrufst du, entfernt unser Skript den Eintrag sofort; ist deine Einwilligung abgelaufen, beim nächsten Lesen deiner Entscheidung (nächste Ankunft über eine Anzeige oder Danke-Seite).
• gefim-einwilligung (Eintrag im Local Storage, gesetzt von uns): deine Entscheidung; 6 Monate (Ziffer 5).

Bei Google gelten die Fristen der Datenschutzerklärung von Google. Den Wortlaut jeder Fassung unseres Banners bewahren wir mit Datum auf; welche Fassung du gesehen hast, steht in deinem Eintrag gefim-einwilligung.

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die beschriebenen Verarbeitungen oder die rechtlichen Anforderungen ändern – zuerst die Erklärung, dann die Technik. Maßgeblich ist die hier veröffentlichte Fassung mit dem angegebenen Stand. Frühere Fassungen bewahren wir auf; auf Anfrage sagen wir dir, welche Fassung zu einem bestimmten Zeitpunkt galt.