Datenschutz

Verantwortlicher

Verantwortliche Stelle

Kontaktformular

Verarbeitung von Kontaktanfragen

Zweck: Bearbeitung und Beantwortung der konkreten Kontaktanfrage.

Übermittelte Angaben

• Name
• E-Mail-Adresse
• Telefonnummer (optional)
• Anfrageart / Leistungswelt
• Betreff (optional)
• Nachricht
• Quelle / Seite
• Kenntnisnahme der Datenschutzhinweise

Name, E-Mail-Adresse, Anfrageart und Nachricht sind für die Bearbeitung erforderlich. Ohne diese Angaben kann die Anfrage nicht sinnvoll beantwortet werden. Telefonnummer und Betreff sind freiwillig. Die Kenntnisnahme der Datenschutzhinweise ist weder eine Einwilligung noch eine Marketingfreigabe.

Der PHP-Endpunkt validiert die Angaben und übergibt eine Plaintext-E-Mail an den serverseitig konfigurierten Mailtransport; Ziel- und Absenderadresse stammen nicht aus dem Browser-Request.

Kontaktanfragen werden an kontakt@kronen-ms.de übermittelt. Als technischer Absender ist noreply@kronen-ms.de vorgesehen. Die produktive Serverkonfiguration und die reale Zustellung werden in M10 verifiziert.

Zwecke und Rechtsgrundlagen

Kontakt- und Angebotsanfragen

Art. 6 Abs. 1 lit. b DSGVO. Diese Rechtsgrundlage gilt, soweit die Anfrage auf einen Vertrag, ein Angebot oder vorvertragliche Maßnahmen gerichtet ist.

Sonstige allgemeine Kontaktanfragen

Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der geschäftlichen Kommunikation und der sachgerechten Beantwortung freiwilliger Anfragen.

Server- und Sicherheitslogs, Origin-/Referrer-Plausibilisierung, Rate-Limit und Missbrauchsschutz

Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren, stabilen und missbrauchsresistenten Betrieb des öffentlichen Auftritts und des Kontaktformulars.

Hosting und Mailzustellung sind technische Empfänger- und Verarbeitungsschritte der jeweils zugrunde liegenden Rechtsgrundlage und beruhen nicht auf einer gesonderten Einwilligung.

Empfänger und Empfängerkategorien

• Prepaid-Host als Hostinganbieter
• die eingesetzte Mail- und Hosting-Infrastruktur
• intern ausschließlich die zur Bearbeitung erforderlichen berechtigten Personen und Funktionen

Die produktive Mail- und Hosting-Konfiguration wird vor dem Go-live verifiziert. Ergibt diese Prüfung einen weiteren realen Mailanbieter, werden diese Datenschutzhinweise vor dem Go-live aktualisiert.

Für den aktuellen öffentlichen Besucher- und Kontaktfluss ist kein Drittlandtransfer vorgesehen. Die reale Zielkonfiguration wird vor dem Go-live in M10 verifiziert.

Missbrauchsschutz und technische Metadaten

Für die sichere Formularverarbeitung werden neben dem Seitenkontext technische Prüfwerte verarbeitet. Der aktuell implementierte Schutz umfasst:

• ausgeblendetes Honeypot-Feld
• Plausibilisierung von Origin und Referrer
• optionale Plausibilisierung der Ausfüllzeit
• dateibasiertes Rate-Limit mit gehashter IP-Kennung im Server-Temp-Verzeichnis; standardmäßig höchstens 5 Anfragen je 600 Sekunden

Für das dateibasierte Rate-Limit werden keine Klartext-IP-Adressen gespeichert, sondern Zeitstempel unter einer gesalzenen, gehashten IP-Kennung im nicht öffentlichen Server-Temp-Verzeichnis. Bei Folgezugriffen werden ältere Zeitstempel aus dem aktiven 600-Sekunden-Fenster entfernt; die jeweilige Temp-Datei kann technisch länger bestehen. In M10 wird deshalb eine serverseitige Cleanup-Regel festgelegt und verifiziert.

Hosting und Server-Protokolle

Hosting-Anbieter: Prepaid-Host.

Verarbeitungsstandort: Deutschland, Rechenzentren in Frankfurt am Main.

Für den technisch erforderlichen Betrieb werden Access- und Error-Logs verarbeitet. Die Zielaufbewahrung beträgt maximal 14 Tage. Die tatsächliche Plesk-Konfiguration wird vor dem Go-live in M10 verifiziert.

Cookies, Einwilligung und externe Dienste

Die öffentliche Website setzt aktuell kein Analytics, keinen Newsletter, keine personalisierte Werbung und kein Drittanbieter-Captcha ein. Formulareingaben werden nicht im Browser-Storage gespeichert.

Der öffentliche Auftritt verwendet aktuell keine einwilligungspflichtigen Cookies, Tracker oder vergleichbaren Speicher-/Zugriffstechnologien. Deshalb wird kein allgemeiner Cookie- oder Consent-Banner eingeblendet.

Vor einer späteren Einbindung von Analytics, Marketing-Pixeln, Drittanbieter-Videos, Karten oder vergleichbaren Technologien wird die Consent-Entscheidung neu geprüft und bei Bedarf ein CMP vorgeschaltet.

Automatisierte Entscheidungen und Profiling

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt.

Aufbewahrung und Löschung

Normale reine Kontaktanfragen werden sechs Monate nach ihrer endgültigen Erledigung gelöscht, sofern sie nicht in ein Angebot oder einen Auftrag überführt wurden. Spam und Fehleingänge werden spätestens nach 30 Tagen gelöscht. Bei Überführung in ein Angebot oder einen Auftrag werden nur die erforderlichen Daten in den getrennten Geschäftsprozess übernommen und dort nach den einschlägigen gesetzlichen und geschäftlichen Aufbewahrungsregeln verarbeitet.

Rechte betroffener Personen

Betroffene Personen können im Rahmen der gesetzlichen Voraussetzungen insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch verlangen. Zudem besteht ein Beschwerderecht bei der zuständigen Datenschutzaufsichtsbehörde.

Datenschutzanfragen können an info@kronen-ms.de gerichtet werden.