Datenschutzerklärung

1. Verantwortliche

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte schreibst du einfach an datenschutz@handwerkeasy.de. Ein:e Datenschutzbeauftragte:r ist nicht bestellt, weil wir dazu gesetzlich nicht verpflichtet sind (weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, § 38 BDSG).

2. Das Wichtigste in Kürze

• Ohne Buchung erheben wir beim Besuch nur die technisch nötigen Zugriffsdaten; Analyse-Tools (Google Analytics, Microsoft Clarity) laufen nur mit deiner Einwilligung über den Cookie-Hinweis.
• Bei einer Buchung brauchen wir Name, E-Mail, Telefon und Einsatzadresse, um den Vertrag zu erfüllen. Die Zahlung läuft über Stripe; wir sehen keine Karten- oder Kontodaten.
• Unser Profi vor Ort bekommt nur, was er für den Einsatz braucht: Vorname bzw. Firma, Adresse, Ansprechperson vor Ort und deine Hinweise. Er sieht weder deine E-Mail noch deine Zahlungsdaten.
• Rechnungen und Buchungsdaten müssen wir 10 Jahre aufbewahren (Steuerrecht). Alles andere löschen wir nach festen Fristen automatisch (Abschnitt 11).
• Deine Daten liegen auf Servern in der EU (Supabase, Irland). Einige Dienstleister haben ihren Sitz in den USA; dafür bestehen die in Abschnitt 10 genannten Garantien.

3. Besuch der Website

3.1 Hosting und Zugriffsprotokolle (Netlify)

handwerkeasy.de wird bei Netlify, Inc. (512 2nd Street, San Francisco, CA 94107, USA) gehostet und über ein weltweites Netz von Auslieferungsservern (CDN) bereitgestellt. Beim Aufruf einer Seite verarbeitet Netlify in unserem Auftrag technisch zwangsläufig: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Browsertyp und -version, Betriebssystem und die zuvor besuchte Seite (Referrer).

Zweck: Auslieferung der Seiten, Stabilität und Sicherheit (z. B. Abwehr von Angriffen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, schnellen Betrieb).
Speicherdauer: Die Zugriffsprotokolle werden von Netlify nur kurzzeitig für den Betrieb vorgehalten und nicht von uns ausgewertet.

3.2 Serverfunktionen und Missbrauchsschutz

Preisberechnung, Postleitzahl-Prüfung, Terminverfügbarkeit, Buchung und E-Mail-Versand laufen über Serverfunktionen bei Netlify (Standort nach Netlify-Angaben USA bzw. EU). Um Missbrauch zu verhindern (z. B. massenhafte Buchungsversuche oder Adressabfragen), zählen wir Aufrufe je IP-Adresse in kurzen Zeitfenstern. Die Zähler werden nach spätestens 2 Tagen gelöscht. Technische Protokolle der Serverfunktionen enthalten keine Klartext-E-Mail-Adressen (sie werden unkenntlich gemacht) und werden nach kurzer Zeit automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch, Kostenkontrolle).

Roboter-Check beim Login (Cloudflare Turnstile): Auf der Login-Seite prüfen wir mit dem Dienst Turnstile der Cloudflare, Inc. (San Francisco, USA), ob ein Mensch den Anmeldelink anfordert und kein Programm, das massenhaft Mails an fremde Adressen auslöst. Dazu lädt die Login-Seite ein Skript von Cloudflare. Cloudflare erhält deine IP-Adresse und technische Angaben zu Browser und Gerät und wertet sie für die Prüfung aus. Meist läuft die Prüfung unsichtbar im Hintergrund, nur in Zweifelsfällen erscheint ein Kästchen zum Anklicken. Wir erhalten nur das Ergebnis der Prüfung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Anmeldung und deines Postfachs vor Missbrauch); für den Zugriff auf Angaben deines Geräts § 25 Abs. 2 Nr. 2 TDDDG. Cloudflare kann Daten in den USA verarbeiten (Abschnitt 10). Datenschutzhinweise von Cloudflare: cloudflare.com/privacypolicy.

3.3 Skript-Bibliothek von jsDelivr

Auf allen Seiten mit Anmelde-Knopf (also auch auf Startseite und Leistungsseiten), im Checkout, auf der Login-Seite und im Kundenkonto laden wir eine Programmbibliothek (supabase-js) vom Content Delivery Network jsDelivr (Betreiber: Prospect One sp. z o.o., Krakau, Polen; Auslieferung über Partner-CDNs weltweit). Dabei erhält jsDelivr deine IP-Adresse und die Browserdaten der Anfrage. Es werden keine Cookies gesetzt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (zuverlässige Bereitstellung der Login-Funktion und der Anzeige, ob du angemeldet bist). Alle anderen Skripte, Schriften und Bilder liefern wir von unserem eigenen Server aus; Google Fonts werden nicht von Google geladen.

3.4 Postleitzahl-Prüfung und Preisrechner

Die Postleitzahl, die du zur Verfügbarkeitsprüfung eingibst, und deine Angaben im Preisrechner (z. B. Fläche, Fensteranzahl) senden wir an unseren Server, um Verfügbarkeit und Preis zu berechnen. Ein Preisangebot gilt 24 Stunden, damit der Preis bis zum Bezahlen unverändert bleibt. Nicht genutzte Angebote löschen wir 2 Tage nach Ablauf, eingelöste bleiben 90 Tage als Beleg gespeichert. Normalerweise enthalten Angebote keine Angaben zu deiner Person; beim Winterdienst gehören die Einsatzadresse und ihre Koordinaten dazu, weil der Preis von der Höhenlage abhängt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf deine Anfrage).

3.5 Adresssuche und Höhenlage (Google Maps Platform)

Im Checkout und im Winterdienst-Rechner hilft dir eine Adress-Vorschlagsliste von Google Maps Platform (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland). Beim Öffnen dieser Seiten wird das Google-Maps-Skript geladen; Google erhält dadurch deine IP-Adresse und die Zeichen, die du in das Adressfeld eingibst. Für den Winterdienst fragt unser Server außerdem bei Google die Koordinaten und die Höhenlage der Einsatzadresse ab, weil der Saisonpreis von der Höhenlage abhängt. Du kannst die Adresse auch ohne Vorschlagsliste eingeben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (korrekte Adresse und Preisberechnung für deine Buchung) und Art. 6 Abs. 1 lit. f DSGVO (fehlerfreie Adressen, weniger vergebliche Anfahrten). Google verarbeitet die Daten auch in den USA (Abschnitt 10). Datenschutzerklärung von Google: policies.google.com/privacy.

4. Buchung und Bezahlung

4.1 Welche Daten wir bei einer Buchung verarbeiten

• Vor- und Nachname; bei Firmenkunden Firma, Ansprechperson und ggf. USt-IdNr.
• E-Mail-Adresse und Telefonnummer
• Einsatzadresse(n), ggf. abweichende Rechnungsadresse, Hinweise zum Zugang (z. B. Schlüssel, Klingel)
• gebuchte Leistungen, Mengen, Zusatzleistungen, Termine, Preise, deine Nachricht an uns
• Zeitpunkt und Wortlaut deiner Zustimmung zu den AGB und, bei Terminen innerhalb der Widerrufsfrist, deiner Erklärung zum vorzeitigen Beginn; dazu die um den letzten Zahlenblock gekürzte IP-Adresse und der Browsertyp als Nachweis
• Zahlungsstatus und die Transaktions-ID von Stripe (keine Karten- oder Kontodaten)

Zweck: Vertragsabschluss und -erfüllung, Terminplanung, Rechnungsstellung, Kommunikation rund um den Termin (Bestätigung, Erinnerung am Vortag, Abschluss-Mail), Nachweis deiner Erklärungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrungspflichten, § 147 AO, § 14b UStG), für den Nachweis der Zustimmung Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.
Speicherdauer: Buchungen mit Rechnung 10 Jahre nach Ende des Jahres der letzten Rechnung. Abgebrochene Buchungen ohne Zahlung werden nach 30 Tagen gelöscht.

4.2 Bezahlung über Stripe

Die Zahlung wickelt Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) ab. Deine Zahlungsdaten (Karte, SEPA-Lastschrift, PayPal, Apple Pay, Google Pay, Amazon Pay) gibst du direkt in das Zahlungsformular von Stripe ein; sie erreichen uns nicht. Stripe erhält von uns Betrag, Buchungsnummer, Name, E-Mail-Adresse und Rechnungsadresse und legt für Abos ein Kundenprofil bei Stripe an, damit die Folgeraten eingezogen werden können. Stripe verarbeitet diese Daten teils als unser Auftragsverarbeiter, teils in eigener Verantwortung (z. B. zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten). Im Checkout setzt Stripe die Cookies __stripe_mid und __stripe_sid zur Betrugserkennung; sie sind für die Zahlung technisch erforderlich.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Cookies § 25 Abs. 2 Nr. 2 TDDDG. Stripe kann Daten in die USA übermitteln (Abschnitt 10). Datenschutzerklärung von Stripe: stripe.com/de/privacy.

PayPal (nur bei Einmal-Buchungen): Wählst du PayPal, meldest du dich bei PayPal an und bestätigst die Zahlung dort. Dafür erhält PayPal (Europe) S.à r.l. et Cie, S.C.A. (22-24 Boulevard Royal, L-2449 Luxemburg) über Stripe Betrag und Buchungsbezug; Name, E-Mail-Adresse und Zahlungsdaten kennt PayPal aus deinem PayPal-Konto bzw. deinen Angaben dort. PayPal verarbeitet diese Daten in eigener Verantwortung, eine Verarbeitung in den USA (Konzernmutter PayPal Holdings, Inc.) ist möglich. Datenschutzerklärung von PayPal: paypal.com/de/legalhub/privacy-full.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Amazon Pay (nur bei Einmal-Buchungen): Wählst du Amazon Pay, meldest du dich mit deinem Amazon-Konto an und bestätigst die Zahlung dort. Dafür erhält Amazon Payments Europe S.C.A. (38 avenue John F. Kennedy, L-1855 Luxemburg) über Stripe Betrag und Buchungsbezug; Name, E-Mail-Adresse und Zahlungsdaten kennt Amazon aus deinem Konto. Amazon verarbeitet diese Daten in eigener Verantwortung, eine Verarbeitung in den USA (Konzernmutter Amazon.com, Inc.) ist möglich. Datenschutzhinweis von Amazon Pay: pay.amazon.de.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.3 E-Mails über Brevo

Buchungsbestätigung, Rechnung, Terminerinnerung, Abschluss- und Bewertungsmail, Storno- und Abo-Bestätigungen sowie die Warteliste-Mail versenden wir über Brevo (Sendinblue SAS, 7 rue de Madrid, 75008 Paris, Frankreich). Brevo erhält dazu deine E-Mail-Adresse, deinen Namen und den Inhalt der Mail und verarbeitet sie in unserem Auftrag auf Servern in der EU. Brevo zählt dabei anonym, wie oft unsere E-Mails geöffnet und Links darin angeklickt werden (über ein unsichtbares Bild in der Mail und eine Weiterleitung der Links über Brevo). Wir sehen nur Gesamtzahlen und können Öffnen und Klicks nicht einzelnen Empfängern zuordnen. Antworten auf unsere Mails landen in unserem Postfach bei Google Workspace (Abschnitt 9).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Erinnerungen und Bewertungsanfragen siehe Abschnitt 7.5. Einen Newsletter versenden wir nicht.

4.4 Links in unseren E-Mails

Die Links „Buchung verwalten“, „Foto-Protokoll ansehen“ und „Jetzt bewerten“ enthalten einen persönlichen Zugangsschlüssel, mit dem du ohne Login auf deine Buchung zugreifen kannst. Die Schlüssel gelten je nach Zweck 14 bis 60 Tage und werden danach automatisch gelöscht. Beim Öffnen entfernen wir den Schlüssel sofort aus der Adresszeile deines Browsers, damit er nicht im Verlauf oder in Analyse-Tools landet. Gib diese Links nicht weiter.

5. Durchführung des Termins

5.1 Weitergabe an den Profi

Der Profi, der deinen Termin ausführt (eigene Mitarbeitende oder ein von uns beauftragter Subunternehmer), erhält über einen persönlichen Link nur die Daten, die er für den Einsatz braucht: Vorname bzw. Firmenname, Einsatzadresse, Ansprechperson vor Ort, Leistung und Termin sowie deine Hinweise (z. B. Schlüsselübergabe). Deine E-Mail-Adresse, deine Telefonnummer und Zahlungsdaten sieht der Profi nicht; den Kontakt am Einsatztag übernehmen wir. Subunternehmer sind vertraglich zur Vertraulichkeit und zum Datenschutz verpflichtet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.2 Terminplanung mit Google Kalender

Bestätigte Termine tragen wir automatisch in unseren Firmenkalender bei Google Workspace (Google Ireland Ltd., Dublin) ein, mit Leistung, Name, Einsatzadresse und Zeitfenster. So planen wir die Touren und vermeiden Doppelbuchungen. Google verarbeitet diese Daten als unser Auftragsverarbeiter; der Kalendereintrag wird 12 Monate nach dem Termin automatisch gelöscht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.3 Foto-Protokoll

Zur Qualitätssicherung und als Nachweis der Leistung fotografiert der Profi die bearbeiteten Bereiche vorher und nachher sowie eventuelle Schäden (siehe AGB § 3). Personen und erkennbar private Gegenstände werden nicht gezielt aufgenommen. Die Fotos liegen in einem zugriffsgeschützten Speicher bei Supabase (EU) und sind nur für dich (per Link bzw. im Kundenkonto) und für uns einsehbar. Vorschaubilder in der Abschluss-Mail sind über 7 Tage gültige Links eingebunden. Du kannst der Foto-Dokumentation jederzeit widersprechen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Leistungsnachweis, Klärung von Reklamationen).
Speicherdauer: 24 Monate nach dem Upload, danach automatische Löschung.

6. Kundenkonto

Das Kundenkonto ist freiwillig; du kannst auch als Gast buchen. Die Anmeldung läuft ohne Passwort über einen Anmeldelink per E-Mail (Magic Link). Dazu verarbeitet unser Datenbank- und Login-Dienst Supabase (Abschnitt 9) deine E-Mail-Adresse, den Zeitpunkt der Anmeldung und die Sitzungsdaten. Im Konto speichern wir dein Profil (Name, Telefon, ggf. Firma und USt-IdNr.), deine Adressen, Buchungen, Rechnungen, Abos, das Service-Heft deiner Objekte (Termine, Fotos, Schäden, Notizen) sowie Sauber-Punkte für abgegebene Bewertungen und die damit freigeschalteten Erfolge.

Anmeldung mit Google: Statt des Anmeldelinks kannst du „Mit Google anmelden“ wählen. Dann leiten wir dich zu Google (Google Ireland Ltd., Dublin, Irland) weiter. Nach deiner Anmeldung dort übermittelt Google an unseren Login-Dienst Supabase deine E-Mail-Adresse, deinen Namen, eine Google-Kennung und, falls vorhanden, den Link zu deinem Profilbild; Supabase speichert diese Angaben zu deinem Konto. Wir nutzen für das Konto nur deine E-Mail-Adresse. Google erfährt dabei, dass du dich bei HandwerkEasy anmeldest. Für die Verarbeitung bei Google gilt die Datenschutzerklärung von Google: policies.google.com/privacy. Google kann Daten in die USA übermitteln (Abschnitt 10).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung auf deinen Wunsch).

Dein Login wird im lokalen Speicher deines Browsers gehalten (Eintrag he-auth, bis zum Abmelden), nicht in einem Cookie.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur Löschung des Kontos. Du kannst dein Konto jederzeit per E-Mail löschen lassen; Buchungs- und Rechnungsdaten bleiben dann nur noch für die gesetzliche Aufbewahrungsfrist gespeichert und werden nicht mehr für das Konto genutzt.

7. Warteliste, Bewertungen, Kündigung, Kontakt, Erinnerungen

7.1 Warteliste

Liegt deine Postleitzahl außerhalb unseres Gebiets, kannst du dich mit PLZ und E-Mail-Adresse vormerken lassen. Du erhältst eine Bestätigung und, sobald wir dort starten, eine einzige Info-Mail; einen Newsletter gibt es nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar per E-Mail).
Speicherdauer: 12 Monate, danach automatische Löschung.

7.2 Bewertungen

Nach einem Termin bitten wir dich per E-Mail um eine Bewertung (Sterne, optionale Stichworte und Freitext). Wir speichern die Bewertung mit Buchung, Termin und, bei Gastbuchungen, deiner E-Mail-Adresse, um Qualität und Zufriedenheit auszuwerten und Reklamationen zuzuordnen. Bewertungen veröffentlichen wir nicht und geben sie nicht an Dritte weiter; Bewertungen auf Google gibst du selbst direkt bei Google ab.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Qualitätssicherung); die Abgabe ist freiwillig.
Speicherdauer: 36 Monate.

7.3 Kündigungs- und Widerrufsformular

Über „Verträge hier kündigen“ kannst du Abos und Verträge ohne Login kündigen. Wir speichern deine Angaben (Art der Kündigung, Vertrag, Name, E-Mail, ggf. Buchungsnummer, Zeitpunkt, Nachricht) mit dem Eingangszeitpunkt, der gekürzten IP-Adresse und dem Browsertyp als Nachweis, schicken dir sofort eine Bestätigung per E-Mail und bearbeiten die Kündigung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertrag, § 312k BGB).
Speicherdauer: 36 Monate.

Über „Vertrag widerrufen“ kannst du einen Vertrag ohne Login widerrufen. Wir speichern deine Angaben (Name, E-Mail für die Eingangsbestätigung, Vertrag, ggf. Buchungsnummer und weitere Angaben zum Vertrag) mit dem Eingangszeitpunkt, der gekürzten IP-Adresse und dem Browsertyp als Nachweis, schicken dir sofort eine Eingangsbestätigung per E-Mail und bearbeiten den Widerruf (Zuordnung zur Buchung, Absage der Termine, Erstattung).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO (Vertrag, §§ 355, 356a BGB).
Speicherdauer: 36 Monate.

7.4 Kontakt per E-Mail, Telefon oder WhatsApp

Wenn du uns per E-Mail, Telefon oder über den WhatsApp-Link kontaktierst, verarbeiten wir deine Angaben zur Beantwortung der Anfrage. E-Mails liegen in unserem Postfach bei Google Workspace. Nutzt du WhatsApp, gelten zusätzlich die Datenschutzbestimmungen von WhatsApp Ireland Ltd.; wir empfehlen für sensible Anliegen die E-Mail.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (bei Bezug zu einer Buchung) oder lit. f DSGVO (Beantwortung von Anfragen).
Speicherdauer: Anfragen ohne Buchung löschen wir spätestens 6 Monate nach Abschluss; Korrespondenz zu Buchungen bewahren wir mit der Buchung auf.

7.5 Erinnerungen und Bewertungsanfragen an Kund:innen

Wenn du bei uns gebucht hast, nutzen wir deine E-Mail-Adresse auch, um dich an eigene ähnliche Leistungen zu erinnern (z. B. an den Winterdienst für die nächste Saison oder den Heckenrückschnitt im Herbst) und um dich nach einem Termin um eine Bewertung zu bitten. Darauf weisen wir dich schon bei der Eingabe deiner E-Mail-Adresse im Checkout hin. Jede dieser E-Mails enthält einen Abmeldehinweis.
Widerspruch: Du kannst dem jederzeit widersprechen, per E-Mail an unsubscribe@handwerkeasy.de oder indem du auf eine solche Mail mit „Abmelden“ antwortest. Dafür entstehen dir keine anderen als die üblichen Übermittlungskosten. Danach bekommst du keine Erinnerungen und Bewertungsanfragen mehr; Mails zu deinen Buchungen (Bestätigung, Rechnung, Terminerinnerung) bekommst du weiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG (Direktwerbung an Bestandskund:innen für ähnliche Leistungen).
Speicherdauer: Deine Adresse nutzen wir dafür, solange du Kund:in bist und nicht widersprochen hast. Nach einem Widerspruch speichern wir deine E-Mail-Adresse auf einer Sperrliste, damit wir dich nicht versehentlich wieder anschreiben; sie bleibt dort, solange wir solche Mails versenden.

8. Cookies, Analyse und Speicher im Browser

8.1 Cookie-Hinweis und Einwilligung

Beim ersten Besuch fragt dich unser eigener Cookie-Hinweis, ob du Analyse-Tools zulassen möchtest. Deine Entscheidung speichern wir im lokalen Speicher deines Browsers (Eintrag he_consent). Ohne Einwilligung werden keine Analyse-Skripte von Google oder Microsoft geladen. Du kannst deine Entscheidung jederzeit über „Cookie-Einstellungen“ in der Fußzeile jeder Seite ändern; ein Widerruf wirkt sofort: Die Analyse-Cookies werden gelöscht und die Seite neu geladen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung); das Speichern deiner Entscheidung selbst ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG).

8.2 Google Analytics 4 (nur mit Einwilligung)

Mit deiner Einwilligung nutzen wir Google Analytics 4 (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland), um zu verstehen, welche Seiten aufgerufen werden, woher Besucher kommen und welche Funktionen genutzt werden. Einstellungen: Google Consent Mode v2 mit Standard „abgelehnt“, Werbefunktionen dauerhaft aus, keine Datenfreigabe an andere Google-Produkte, Aufbewahrung der Ereignisdaten bei Google 2 Monate. Google kürzt IP-Adressen in der EU vor der Speicherung. Zugangsschlüssel und Buchungs-IDs aus Links entfernen wir aus der Seitenadresse, bevor Analytics lädt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Drittland: Google LLC, USA (Abschnitt 10).

8.3 Microsoft Clarity (nur mit Einwilligung)

Mit deiner Einwilligung nutzen wir Microsoft Clarity (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) für Heatmaps und Aufzeichnungen der Bedienung (Klicks, Scrollen, Mausbewegung), um die Benutzung zu verbessern. Eingaben in Formularfelder maskiert Clarity grundsätzlich; zusätzlich maskieren wir alle Inhalte im Checkout, im Kundenkonto, auf der Buchungs-, Bestätigungs-, Bewertungs- und Login-Seite vollständig, sodass Namen, Adressen und Buchungsdaten nicht in Aufzeichnungen erscheinen. Clarity startet erst nach einem ausdrücklichen Einwilligungssignal von uns.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Drittland: Microsoft Corporation, USA (Abschnitt 10). Datenschutzerklärung: privacy.microsoft.com.

8.4 Übersicht: Cookies und Browser-Speicher

9. Empfänger und Dienstleister

Wir setzen folgende Dienstleister ein. Mit Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen; sie dürfen die Daten nur nach unserer Weisung verwenden.

Weitere Empfänger sind nur Behörden oder Gerichte, wenn wir gesetzlich dazu verpflichtet sind, sowie unsere Versicherung im Schadensfall (Art. 6 Abs. 1 lit. c und f DSGVO). Wir verkaufen keine Daten und betreiben kein Werbe-Tracking.

10. Übermittlung in Drittländer

Bei Netlify, Supabase, Stripe, Google, Microsoft, Cloudflare und jsDelivr kann es zu einer Verarbeitung in den USA oder anderen Ländern außerhalb der EU kommen (z. B. durch Konzernmutter, Support oder weltweite Auslieferungsserver). Dafür bestehen folgende Garantien:

• EU-US Data Privacy Framework (DPF): Google LLC, Microsoft Corporation, Stripe, Inc., Netlify, Inc. und Cloudflare, Inc. sind nach dem DPF zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
• EU-Standardvertragsklauseln (SCC): Mit allen genannten Anbietern bestehen zusätzlich bzw. ersatzweise Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Schutzmaßnahmen wie Verschlüsselung.
• Unsere Datenbank und die Fotos liegen auf Servern in Irland; Brevo verarbeitet ausschließlich in der EU.

Trotz dieser Garantien können Behörden in den USA unter bestimmten Voraussetzungen auf Daten zugreifen. Kopien der Garantien erhältst du auf Anfrage bei uns.

11. Speicherdauer im Überblick

Wir löschen Daten automatisch, sobald der Zweck entfallen ist und keine Aufbewahrungspflicht entgegensteht. Ein täglicher Löschlauf setzt diese Fristen um:

Einen Antrag auf Löschung oder Auskunft bearbeiten wir innerhalb eines Monats.

12. Deine Rechte

Du hast gegenüber uns jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. über „Cookie-Einstellungen“ oder per E-Mail

Schreib dafür einfach an datenschutz@handwerkeasy.de oder per Post an die Adresse in Abschnitt 1. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts. Für uns zuständig ist:

13. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Für eine Buchung brauchen wir Name, E-Mail-Adresse, Telefonnummer (für Rückfragen am Einsatztag) und die Einsatzadresse; ohne diese Angaben können wir den Vertrag nicht erfüllen. Alle anderen Angaben sind freiwillig. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Wir treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung und führen kein Profiling im Sinne von Art. 22 DSGVO durch. Preise berechnet der Rechner allein aus deinen Angaben zur Leistung; Termine vergeben wir nach Verfügbarkeit.

14. Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem:

• Verschlüsselte Übertragung (HTTPS/TLS) auf der gesamten Website und zu allen Dienstleistern
• Zugriff auf die Datenbank nur über unsere Serverfunktionen mit geheimen Schlüsseln; Zeilenbasierte Zugriffsregeln im Kundenkonto (jede:r sieht nur die eigenen Daten)
• Zahlungsdaten ausschließlich bei Stripe (PCI-DSS-zertifiziert)
• Persönliche Links mit zufälligen, zeitlich begrenzten Schlüsseln; Bestätigungsseite nur 24 Stunden mit Zahlungsnachweis abrufbar
• Schutz vor Missbrauch durch Aufruflimits, Content-Security-Policy und weitere Sicherheits-Header
• Automatische Löschläufe nach den Fristen in Abschnitt 11; keine Klartext-E-Mail-Adressen in technischen Protokollen
• Zugriff auf Verwaltungskonten (Netlify, Supabase, Stripe, Google) nur für die Inhaberin, mit Zwei-Faktor-Authentifizierung, soweit der Anbieter sie anbietet

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn wir neue Dienste einsetzen oder sich die Rechtslage ändert. Die aktuelle Fassung findest du immer unter handwerkeasy.de/datenschutz. Stand: 15.10.2026.