1. Verantwortlicher

Aufi GmbH, vertreten durch Tobias Aufenanger
Günthersbühlerstr. 46 A, 90491 Nürnberg
E-Mail: sites@aufi.de

Die Angaben in dieser Erklärung betreffen diese Plattform und die von uns erstellten Website-Entwürfe. Für die Datenverarbeitung auf einer fertigen, von uns betreuten Kundenwebsite gilt Ziffer 8.

2. Recherche vor der Ansprache

Wir sprechen Handwerksbetriebe von uns aus an. Dafür stellen wir vorab öffentlich zugängliche Angaben über den Betrieb zusammen und erstellen daraus einen Website-Entwurf, den wir anschließend unaufgefordert zusenden. Von dieser Verarbeitung erfahren Sie also erst durch unser Schreiben. Die folgenden Angaben machen wir deshalb nach Art. 14 DSGVO.

Welche Daten. Name und Anschrift des Betriebs, Name der Inhaberin oder des Inhabers und der Ansprechpartner, Telefonnummer, E-Mail-Adresse, Öffnungszeiten, Leistungsangebot, öffentliche Bewertungen, Fotos und Logo sowie Angaben zu einer bereits bestehenden Website.

Woher. Ausschließlich aus öffentlich zugänglichen Quellen: dem Google-Unternehmensprofil, der eigenen Website des Betriebs, öffentlichen Profilen des Betriebs in sozialen Netzwerken, Branchen- und Kammerverzeichnissen sowie Ergebnissen von Suchmaschinen. Welche Quellen es im Einzelfall waren, benennt unser Schreiben.

Wozu und auf welcher Grundlage. Zweck ist die Ansprache möglicher Geschäftskunden mit einem konkreten, auf den Betrieb zugeschnittenen Angebot. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. In der Abwägung wiegt, dass wir ausschließlich betriebsbezogene und öffentlich zugängliche Angaben verwenden, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, und dass wir kein Profil zur Person bilden.

Empfänger. Wir übermitteln diese Daten nicht an Dritte zu deren eigenen Zwecken. Welche technischen Dienstleister wir dabei einsetzen und wo sie sitzen, steht in Ziffer 9.

Widerspruch. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO); einen Grund brauchen Sie dafür nicht. Am einfachsten geht das auf der Seite zu Ihrem Entwurf über den Menüpunkt „Daten löschen“. Eine Nachricht an die in Ziffer 1 genannte E-Mail-Adresse genügt ebenso. Sie müssen dafür nichts angeben und nichts nachweisen; wir löschen dann den Entwurf und die zum Betrieb gespeicherten Daten vollständig.

Sperrvermerk statt erneuter Ansprache. Bei der Löschung fragen wir Sie, ob wir eine einzige Angabe behalten dürfen: die Kennnummer, unter der Ihr Betrieb bei Google Maps geführt wird. Sie steht öffentlich in Ihrem Google-Eintrag. Wir verwenden sie ausschließlich dazu, Ihren Betrieb bei einer späteren Recherche wiederzuerkennen und ihn nicht erneut anzuschreiben — sie wird für keinen anderen Zweck genutzt, mit keinen weiteren Daten angereichert und getrennt von der übrigen Verarbeitung gehalten. Rechtsgrundlage ist Art. 21 Abs. 3 i. V. m. Art. 17 Abs. 3 lit. b und lit. e DSGVO: ohne einen solchen Vermerk könnten wir Ihren Widerspruch praktisch nicht durchsetzen. Sie können auch das ablehnen; dann löschen wir restlos. Verlangen Sie die Löschung per E-Mail, ohne sich dazu zu äußern, behalten wir die Kennnummer als Sperrvermerk — ein Satz genügt, und wir löschen auch sie. Wir weisen offen darauf hin, dass wir Ihren Betrieb in diesem Fall bei einer späteren Recherche nicht mehr von einem neuen unterscheiden können und Sie erneut Post von uns bekommen könnten.

Wie lange. Wir speichern diese Daten, solange wir die Ansprache verfolgen; auf Widerspruch löschen wir sie vollständig. Kommt es zu einem Auftrag, gilt für die weitere Verarbeitung Ziffer 10.

Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt.

3. Verarbeitung bei Nutzung des Bestellformulars

Wenn Sie über unser Formular einen Website-Entwurf bestellen, Angaben ergänzen oder Ihre Löschung anfordern, verarbeiten wir die von Ihnen übermittelten Daten (u. a. Firmenname, Ansprechpartner, Anschrift, E-Mail, hochgeladene Fotos) ausschließlich zur Bearbeitung Ihres Auftrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen).

4. Server-Logfiles

Beim Aufruf verarbeiten wir technisch notwendige Zugriffsdaten. Ihre IP-Adresse wird dabei ausschließlich gekürzt bzw. als nicht rückrechenbarer Hashwert gespeichert, nicht im Klartext. Rechtsgrundlage ist das berechtigte Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Eine Ausnahme gilt für den Nachweis über ein Lastschriftmandat oder eine andere Zustimmung zur Zahlung im Website-Dashboard (Ziffer 11).

[PRÜFEN: Gilt die Aussage in Ziffer 4 auch für die Zugriffsprotokolle des Portal-Servers (Caddy)? Wenn das Portal eigene Logs mit voller IP schreibt, stimmt Ziffer 4 für das Portal nicht.]

5. Reichweitenmessung des Entwurfs

Rufen Sie den für Sie erstellten Website-Entwurf auf, halten wir fest, dass die Seite abgerufen wurde. Gespeichert werden dabei der Zeitpunkt, ein nicht rückrechenbarer Hashwert Ihrer IP-Adresse, der nur dazu dient, mehrere Aufrufe innerhalb einer halben Stunde als einen Besuch zu zählen, die grobe Geräteart (Handy, Tablet oder Computer) und welche der Seiten abgerufen wurde — also ob es die Startseite, das Bestellformular, das Impressum oder die Datenschutzerklärung war. Den vollständigen Browser-Kennstring speichern wir nicht. Wir wissen dadurch, ob unser Entwurf angesehen wurde und ob er Anlass zu einer Bestellung gab; wir erstellen daraus kein Profil und verfolgen Sie nicht über andere Websites hinweg. Es werden auf der Entwurfsseite keine Cookies gesetzt, kein Analyse- oder Tracking-Werkzeug eingebunden und keine Daten aus Ihrem Endgerät ausgelesen; die Messung erfolgt allein aus den Angaben, die Ihr Browser beim Abruf ohnehin übermittelt.

Beginnen Sie, das Bestellformular auszufüllen, speichert die Seite Ihre Eingaben zwischen, damit sie beim Schließen des Fensters nicht verloren gehen. Aus diesem Zwischenstand halten wir zusätzlich fest, wie weit Sie gekommen sind: den erreichten Abschnitt sowie die Anzahl der ausgefüllten Felder und hochgeladenen Bilder. Der Inhalt Ihrer Eingaben wird dafür nicht ausgewertet und verlässt diesen Server nicht, solange Sie das Formular nicht abgeschickt haben. Damit erkennen wir, an welcher Stelle unser Formular zu umständlich ist.

Rechtsgrundlage für beides ist unser berechtigtes Interesse, den Erfolg unserer Ansprache zu beurteilen (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO); die Daten werden dann gelöscht.

6. Den Editor auf Ihrem Entwurf ausprobieren

Auf der Seite zu Ihrem Entwurf können Sie unter „Editor testen“ ausprobieren, wie Sie Ihre Website später selbst bearbeiten. Was Sie dort ändern, schreiben oder hochladen, speichern wir zusammen mit Ihrem Entwurf auf unserem Server (Ziffer 7). Veröffentlicht wird davon nichts; Ihre Änderungen sind nur im Editor zu sehen. Wir löschen sie, sobald Sie der Verarbeitung widersprechen oder die Löschung verlangen (Ziffer 2), sobald wir die Ansprache beenden und ebenso, wenn wir Ihren Entwurf neu erstellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

KI-Assistent. Im Editor können Sie einem KI-Assistenten in eigenen Worten sagen, was sich an Ihrer Website ändern soll. Nur wenn Sie das tun, übermitteln wir Ihren Auftrag zusammen mit den Inhalten der betreffenden Seiten Ihres Entwurfs an

OpenRouter, Inc.
169 Madison Avenue
New York, NY 10016
USA

OpenRouter leitet die Anfrage an ein Sprachmodell weiter. Dabei ist Zero Data Retention eingestellt: Die Anfrage geht nur an Anbieter, die Ihre Eingaben und die Antworten nicht speichern und sie deshalb auch nicht zum Training verwenden. OpenRouter selbst speichert die Inhalte ebenfalls nicht, sondern nur technische Angaben zur Anfrage wie deren Umfang und Zeitpunkt. Die Anfrage stellt unser Server; Ihre IP-Adresse wird dabei nicht an OpenRouter übermittelt. OpenRouter wird für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

Übermittlung in die Vereinigten Staaten. OpenRouter, Inc. hat ihren Sitz in den USA und ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützt sich deshalb auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Es besteht das Risiko, dass US-Behörden auf Grundlage dortiger Gesetze Zugriff verlangen.

7. Hosting dieser Plattform

Diese Plattform und die von uns erzeugten Entwurfsseiten liegen auf Servern der

Hetzner Online GmbH
Industriestr. 25
91710 Gunzenhausen
Deutschland

Die eingesetzten Server stehen innerhalb der Europäischen Union. Die Hetzner Online GmbH wird für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag über Auftragsverarbeitung besteht. Näheres zum Umgang mit personenbezogenen Daten bei unserem Hoster finden Sie unter https://www.hetzner.com/de/legal/privacy-policy/.

8. Websites, die wir für unsere Kunden hosten

Zu unserem Leistungsangebot gehört es, Websites für unsere Kunden zu erstellen, zu hosten und technisch zu betreuen. Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die auf einer solchen Kundenwebsite stattfindende Datenverarbeitung ist stets unser jeweiliger Kunde als Betreiber dieser Website, nicht die Aufi GmbH.

Wir werden insoweit ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Die dafür erforderliche Vereinbarung zur Auftragsverarbeitung ist Bestandteil unserer Allgemeinen Geschäftsbedingungen (Ziffer 12 der AGB) und wird damit mit jedem Vertrag geschlossen; einen gesonderten Vertrag im Einzelfall gibt es nicht. Wir verarbeiten die betreffenden Daten nur nach dokumentierter Weisung des Kunden und nutzen sie nicht für eigene Zwecke.

Wenn Sie Besucherin oder Besucher einer von uns betreuten Website sind, finden Sie die für Sie maßgeblichen Informationen in der Datenschutzerklärung der jeweiligen Website. Auch Ihre Betroffenenrechte (Auskunft, Löschung, Berichtigung, Widerspruch usw.) machen Sie bitte gegenüber dem dort genannten Betreiber geltend. Erreichen uns solche Anfragen unmittelbar, leiten wir sie unverzüglich an den verantwortlichen Kunden weiter.

Für das Hosting der Kundenwebsites setzen wir die Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) oder die netcup GmbH (Emmy-Noether-Straße 10, 76131 Karlsruhe) ein. Die eingesetzten Server stehen innerhalb der Europäischen Union. Beide werden dabei als Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO tätig; mit beiden haben wir einen Vertrag über Auftragsverarbeitung geschlossen. Näheres zum Umgang mit personenbezogenen Daten finden Sie in den Datenschutzerklärungen der Hoster: Hetzner Online GmbH und netcup GmbH.

Welche personenbezogenen Daten im Einzelnen anfallen, hängt vom jeweiligen Kundenprojekt ab. Typischerweise handelt es sich um:

• Server-Logfiles der Besucherinnen und Besucher der Kundenwebsite (IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, HTTP-Statuscode, Referrer-URL, Browsertyp und Betriebssystem)
• Inhalte der Website selbst, soweit diese personenbezogene Daten enthalten (z. B. Namen, Fotos und Kontaktdaten von Mitarbeitenden, Referenzen, Impressumsangaben)
• Daten aus Kontakt-, Anfrage- oder Buchungsformularen der Kundenwebsite (z. B. Name, E-Mail-Adresse, Telefonnummer, Nachrichtentext)
• Sicherungskopien (Backups) der vorgenannten Daten

Ein Zugriff auf diese Daten erfolgt durch uns nur, soweit dies für Betrieb, Wartung, Fehlerbehebung und Sicherheit der Website erforderlich ist. Unsere Mitarbeitenden sind auf die Vertraulichkeit verpflichtet. Nach Beendigung des Auftragsverhältnisses löschen wir die Daten oder geben sie an den Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Wahl trifft der Kunde.

9. Dienstleister, die wir bei der Erstellung einsetzen

Für die Recherche (Ziffer 2) und für den Bau der Website setzen wir technische Dienstleister ein. Sie werden als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich nach unserer Weisung tätig und dürfen die Daten nicht für eigene Zwecke verwenden. Mit jedem dieser Dienstleister haben wir einen Vertrag über Auftragsverarbeitung (AVV) nach Art. 28 DSGVO geschlossen.

Dienstleister	Sitz	Wofür
Apify Technologies s.r.o.	Prag, Tschechien	Abruf öffentlicher Brancheneinträge
DataForSEO OÜ	Estland	Auswertung von Suchmaschinen-Ergebnissen
Google Ireland Ltd.	Dublin, Irland	Unternehmensprofil, Karten- und Bewertungsdaten
Anthropic PBC	Vereinigte Staaten	Textanalyse und Texterstellung
OpenAI Ireland Ltd.	Dublin, Irland	Erzeugung von Bildern

[PRÜFEN: Dienstleister, die in der heutigen Erklärung fehlen: Scaleway (Mailversand der Fabrik, des Editors und künftig des Portals) steht nicht in dieser Tabelle. LexOffice (Rechnungen, Auftragsbestätigungen) steht nirgends. Beide in Ziffer 9 oder Ziffer 10 aufnehmen, mit Firmierung, Sitz und AVV-Stand. Firmierungen sind nicht recherchiert und deshalb nicht eingesetzt.]

Für das Hosting gelten Ziffer 7 und Ziffer 8; dort sind die Hetzner Online GmbH und die netcup GmbH genannt.

Übermittlung in die Vereinigten Staaten. Anthropic PBC hat ihren Sitz außerhalb der EU. Für die Vereinigten Staaten liegt insoweit kein Angemessenheitsbeschluss der Europäischen Kommission vor. Die Übermittlung stützt sich deshalb auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil unseres Vertrags mit Anthropic sind. Eine Kopie können Sie unter der in Ziffer 1 genannten Adresse anfordern. Es besteht das Risiko, dass US-Behörden auf Grundlage dortiger Gesetze Zugriff verlangen; wir haben dieses Risiko bewertet und dokumentiert.

10. Kunden- und Vertragsdaten

Von den vorstehend beschriebenen Verarbeitungen zu unterscheiden sind die Daten unserer Kundinnen und Kunden selbst. Für diese sind wir Verantwortlicher. Wir verarbeiten die zur Anbahnung, Begründung, Durchführung und Abwicklung des Vertragsverhältnisses erforderlichen Daten, insbesondere Firmenname, Namen und Kontaktdaten der Ansprechpartner, Rechnungs- und Zahlungsdaten sowie Kommunikationsinhalte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer ordnungsgemäßen Auftragsabwicklung). Wir löschen diese Daten, sobald sie für die genannten Zwecke nicht mehr erforderlich sind; die handels- und steuerrechtlichen Aufbewahrungsfristen von sechs bzw. zehn Jahren (§ 257 HGB, § 147 AO) bleiben unberührt.

11. Website-Dashboard (app.aufi.de)

Kunden, deren Website wir veröffentlicht haben, erhalten einen Zugang zur Website-Verwaltung „Website-Dashboard“ unter app.aufi.de. Dort finden sie ihre Rechnungen und richten die Zahlung ein.

Anmeldung. Sie melden sich mit Ihrer E-Mail-Adresse an. Wir schicken Ihnen dafür eine E-Mail mit einem Link und einem Code; beide gelten wenige Minuten und nur einmal. Ein Passwort gibt es nicht. Zugänge legen wir selbst an oder sie entstehen, wenn eine berechtigte Person Ihres Betriebs Sie einlädt.

Cookies. Das Website-Dashboard setzt zwei Cookies. Das erste entsteht, wenn Sie eine Anmelde-Mail anfordern: An ihm erkennt das Website-Dashboard den Browser wieder, in dem die Anmeldung begonnen wurde; nur dort lässt sich der Code aus der Mail eingeben. Es gilt einen Tag. Das zweite entsteht mit der Anmeldung und erkennt Ihre Sitzung; es gilt 30 Tage. Beide sind technisch notwendig und werden nicht zur Auswertung Ihres Verhaltens verwendet. Andere Cookies setzt das Website-Dashboard nicht, und es bindet keine Analyse- oder Werbedienste ein. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht nötig.

[PRÜFEN: § 25 Abs. 2 Nr. 2 TDDDG ist in der Recherche nicht nachgeschlagen; die Angabe stammt aus dem Gedächtnis.]

Welche Daten wir im Website-Dashboard speichern. E-Mail-Adresse und Name der angemeldeten Personen und ihre Rolle im Betrieb, Name und Domain des Betriebs, Einladungen, die Rechnungen als PDF, den Stand der Zahlungen (Betrag, Zeitpunkt, eingezogen, gescheitert oder zurückgegeben) sowie den Nachweis über ein erteiltes Lastschriftmandat oder eine andere Zustimmung zur Zahlung. Ihre vollständige IBAN speichern wir nicht; sie liegt bei unserem Zahlungsdienstleister (siehe Ziffer 12). Bei uns bleiben die letzten vier Stellen. Zahlen Sie mit Kreditkarte, speichern wir die Kartenmarke, die letzten vier Stellen und das Ablaufdatum der Karte; die vollständige Kartennummer erhalten wir nie.

[PRÜFEN: Angemeldete Geräte. Zu jeder Sitzung führt die Datenbank IP-Adresse und Browser-Kennung (Tabelle sessions); die Seite „Konto“ zeigt daraus die angemeldeten Geräte. Das fehlt in dieser Aufzählung. Vor der Aufnahme klären, ob die IP-Adresse dort ungekürzt steht — dann braucht Ziffer 4 eine zweite Ausnahme. Ebenfalls nicht genannt: die Zähler gegen zu viele Anmeldeversuche (nur als Hashwert, nach einem Tag gelöscht) und der Mail-Ausgang (Betreff und Empfänger jeder verschickten Mail, Text außer bei Anmelde-Mails; Löschung nach 90 Tagen laut Voreinstellung).]

Nachweis über das Lastschriftmandat. Sie erteilen das Mandat ohne Unterschrift. Damit wir belegen können, dass es von Ihnen stammt, halten wir bei der Erteilung fest: den Betrieb, die angemeldete Person, den Kontoinhaber, die letzten vier Stellen der IBAN, die Mandatsreferenz, den Wortlaut des Mandats, den Zeitpunkt, Ihre IP-Adresse und die Kennung Ihres Browsers. Anders als bei den Server-Logfiles (Ziffer 4) speichern wir die IP-Adresse hier ungekürzt, weil nur so der Nachweis etwas wert ist.

Online-Banking und Kreditkarte. Richten Sie die Zahlung über Ihr Online-Banking oder mit einer Kreditkarte ein, halten wir Ihre Zustimmung auf dieselbe Weise fest: den Betrieb, die angemeldete Person, den Wortlaut der Zustimmung, den Zeitpunkt, Ihre IP-Adresse und die Kennung Ihres Browsers. Den Kontoinhaber und die letzten vier Stellen der IBAN oder der Karte tragen wir nach, sobald unser Zahlungsdienstleister sie uns nach der ersten Zahlung meldet.

[PRÜFEN: Absatz neu (Stand 10.10.2026), beschreibt, was das Website-Dashboard heute speichert. PayPal ist vorgesehen; dann käme die gekürzte Adresse des PayPal-Kontos dazu.]

Zweck und Rechtsgrundlage. Wir verarbeiten diese Daten, um den Vertrag mit Ihnen zu erfüllen und abzurechnen (Art. 6 Abs. 1 lit. b DSGVO). Den Nachweis über Mandat oder Zustimmung führen wir zusätzlich aus unserem berechtigten Interesse, eine bestrittene Lastschrift oder Kartenzahlung belegen zu können (Art. 6 Abs. 1 lit. f DSGVO).

E-Mails des Website-Dashboards. Anmelde-Mails, Einladungen, Mitteilungen zur Zahlung und Hinweise an die Admins eines Betriebs, wenn ein weiterer Admin dazukommt oder das Zahlungsmittel geändert wird, verschicken wir über einen Versanddienstleister. [PRÜFEN: Scaleway SAS, Paris, Frankreich, als Auftragsverarbeiter nach Art. 28 DSGVO; Firmierung und Vertrag bestätigen.]

Wo das Website-Dashboard läuft. Das Website-Dashboard und seine Datenbank liegen auf einem Server der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, innerhalb der Europäischen Union. Die netcup GmbH wird für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig.

[PRÜFEN: Die heutige Ziffer 7 nennt für „diese Plattform“ nur Hetzner; das Portal läuft laut PRD auf dem bestehenden Live-Server bei netcup. Anschrift aus Ziffer 8 übernommen.]

Wie lange. Die Daten im Website-Dashboard speichern wir, solange das Vertragsverhältnis besteht. Endet es, sperren wir den Zugang und löschen die Daten des Betriebs im Website-Dashboard. Zwei Dinge bleiben länger:

• Den Nachweis über das Lastschriftmandat oder die Zustimmung zur Zahlung behalten wir bis 14 Monate nach dem letzten Einzug, getrennt von den übrigen Daten und nur, um eine bestrittene Zahlung belegen zu können. Eine Lastschrift kann bis zu 13 Monate nach der Belastung als nicht autorisiert zurückgefordert werden. Das gilt auch, wenn Sie die Löschung Ihrer Daten verlangen (Art. 17 Abs. 3 lit. e DSGVO).
• Rechnungen bewahren wir nach den handels- und steuerrechtlichen Vorschriften auf (Ziffer 10), und zwar in unserer Buchhaltung, nicht im Website-Dashboard.

[PRÜFEN: 14 Monate: Die 13 Monate sind belegt (§ 676b Abs. 2 BGB; SEPA-Regelwerk Abschnitt 4.4), der vierzehnte Monat ist ein Puffer. Die Regel selbst ist eine Annahme, die Aufi noch bestätigen muss. Für Kartenzahlungen ist die Frist, in der eine Belastung bestritten werden kann, nicht recherchiert; der Satz „Eine Lastschrift kann …“ begründet die 14 Monate nur für Lastschriften.]

In den Sicherungskopien des Website-Dashboards sind gelöschte Daten noch bis zu rund 90 Tage enthalten; danach sind sie auch dort überschrieben.

[PRÜFEN: 90 Tage laut ops, Stand 02.10.2026. Der zurückbehaltene Mandatsnachweis und gelöschte Betriebsdaten stecken so lange in den Backups. Die Zahl vor Veröffentlichung von ops bestätigen lassen.]

12. Zahlung über Mollie

Lastschriften und die übrigen Zahlungen im Website-Dashboard lassen wir durch einen Zahlungsdienstleister abwickeln:

Mollie B.V.
[PRÜFEN: Keizersgracht 126, 1015 CW Amsterdam; die Quellen nennen auch Nr. 121]
Niederlande

Welche Daten Mollie von uns erhält. Den Namen des Betriebs und eine Kundenkennung, bei Lastschrift per IBAN den Namen des Kontoinhabers, die IBAN, das Datum und die Referenz des Mandats, außerdem die Beträge und Verwendungszwecke der Zahlungen. Ihre E-Mail-Adresse und Ihre IP-Adresse geben wir nicht an Mollie weiter.

[PRÜFEN: So sendet es das Website-Dashboard nach dem Stand des Codes vom 10.10.2026 (Kunde bei Mollie: Name des Betriebs und interne Kennung; keine E-Mail-Adresse, keine IP-Adresse). Vor der Veröffentlichung noch einmal am Code gegenlesen.]

Online-Banking und Kreditkarte. Bei diesen Zahlungsarten leiten wir Sie für die erste Zahlung auf die Bezahlseite von Mollie weiter. Was Sie dort eingeben — die Freigabe bei Ihrer Bank oder die Daten Ihrer Karte —, erhält Mollie unmittelbar von Ihnen; wir sehen es nicht. Mollie meldet uns danach, ob die Zahlung gelungen ist, sowie den Kontoinhaber und die IBAN oder die Kartenmarke, die letzten vier Stellen und das Ablaufdatum der Karte. Davon speichern wir, was in Ziffer 11 steht.

[PRÜFEN: Absatz neu (Stand 10.10.2026). Nicht recherchiert: welche weiteren Empfänger Mollie bei Kartenzahlungen und beim Online-Banking einschaltet (Kartenorganisation, Banken) und welche Cookies Mollies Bezahlseite setzt — dafür gilt Mollies eigene Datenschutzerklärung; ein Jurist soll sagen, ob der Verweis genügt. PayPal ist vorgesehen: dann kommt PayPal als weiterer Empfänger mit Firmierung und Sitz hierher.]

Zweck und Rechtsgrundlage. Die Übermittlung ist nötig, um die vereinbarte Zahlung abzuwickeln (Art. 6 Abs. 1 lit. b DSGVO).

Mollie ist selbst verantwortlich. Mollie verarbeitet diese Daten nicht in unserem Auftrag, sondern als eigenständig Verantwortlicher, unter anderem um die eigenen gesetzlichen Pflichten als Zahlungsinstitut zu erfüllen, etwa zur Betrugs- und Geldwäscheprävention. Mollie B.V. ist bei der niederländischen Zentralbank (De Nederlandsche Bank) als E-Geld-Institut zugelassen. Wie Mollie mit Ihren Daten umgeht und wie Sie Ihre Rechte dort geltend machen, steht in den Datenschutzhinweisen von Mollie: https://www.mollie.com/de/legal/privacy

[PRÜFEN: Der Halbsatz „Betrugs- und Geldwäscheprävention“ beschreibt, was Zahlungsinstitute üblicherweise tun. An Mollies Datenschutzerklärung im Wortlaut gegenlesen oder den Halbsatz streichen.]

Auf Ihrem Kontoauszug erscheint eine Lastschrift deshalb mit dem Zusatz „via Mollie“ und mit der Gläubiger-Identifikationsnummer von Mollie.

Wenn Sie überweisen statt im Website-Dashboard zu zahlen, erhält Mollie keine Daten von Ihnen.

11. 13. Speicherdauer

Wir löschen Ihre Daten, sobald sie für den Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12. 14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de
www.lda.bayern.de

Sie können sich unabhängig davon auch an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Arbeitsplatzes wenden.