Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

fainz GmbH
Eichbergstr. 4
75180 Pforzheim
Deutschland
E-Mail: hello@fainzstudio.com

Ein Datenschutzbeauftragter ist nicht bestellt; eine gesetzliche Pflicht hierzu besteht für unser Unternehmen nicht.

2. Gegenstand und Geltungsbereich

Diese Erklärung gilt für die Nutzung unseres geschäftlichen Client-Portals unter der Domain portal.fainzstudio.com („Portal“). Das Portal ist ein nicht-öffentliches Werkzeug zur Zusammenarbeit zwischen der fainz GmbH und ihren Geschäftskunden (Briefings, Skizzen, Moodboards, Rechnungen, Projektkommunikation). Eine Verbraucher- oder Endkundennutzung findet nicht statt.

3. Datenverarbeitung beim Aufruf der Seite

Bei jedem Aufruf werden technisch notwendige Daten verarbeitet, die der Browser automatisch an unseren Hosting-Anbieter übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, Zeitzonendifferenz, Inhalt der Anforderung (konkrete Seite), Zugriffsstatus / HTTP-Statuscode, jeweils übertragene Datenmenge, übertragener Referrer, Browser- und Betriebssysteminformationen sowie die Sprache des Browsers.

Diese Daten werden zur Auslieferung der Inhalte und zur Aufrechterhaltung der IT-Sicherheit verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen und sicheren Betrieb). Server-Logs werden in der Regel nach 14 Tagen gelöscht, sofern keine Sicherheitsvorfälle eine längere Speicherung erfordern.

4. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies sowie Local-Storage- Einträge, die für den Betrieb des Portals erforderlich sind:

• Authentifizierungs-Cookies (Sitzungs-Token unseres Auth-Dienstleisters Supabase, siehe Ziffer 9)
• Spracheinstellungs-Cookie („locale“, Deutsch / Englisch)
• Lokale Speicherung zur Wahrung des Login-Status während einer Sitzung

Es findet keine reichweiten- oder verhaltensbezogene Auswertung statt. Tracking, Analytics, Werbe-Cookies und Drittanbieter-Pixel kommen nicht zum Einsatz. Eine Einwilligung im Sinne des § 25 Abs. 1 TDDDG ist daher nicht erforderlich; die Verarbeitung stützt sich auf § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b und f DSGVO.

5. Registrierung und Anmeldung

Der Zugang zum Portal erfolgt über einen E-Mail-Code (Einmal-Passwort, 6-stellig). Für die Anmeldung verarbeiten wir Ihre E-Mail-Adresse sowie den Anmeldevorgang (Zeitstempel, IP-Adresse zur Missbrauchserkennung). Bei der erstmaligen Registrierung werden zusätzlich Name und Unternehmen erhoben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Nutzungsvertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (sichere Authentifizierung). Die Daten werden für die Dauer der Account-Existenz gespeichert.

6. Profil- und Projektdaten

Im Rahmen der Nutzung verarbeiten wir folgende Daten:

• Profildaten: Name, Anrede, ggf. Profilbild, Sprache, Quiet Hours für Benachrichtigungen
• Unternehmensdaten: Firmenname, Anschrift, USt-IdNr., Telefon
• Projektinhalte: Briefings, Moodboards, Brand Assets, Skizzen, hochgeladene Dateien, Nachrichten und Kommentare, Freigaben
• Rechnungs- und Vertragsdokumente
• Projektzuordnungen (welcher Nutzer welchem Projekt angehört)

Diese Daten werden zur Erfüllung des Projektvertrags verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungen werden zusätzlich für die gesetzliche Aufbewahrungsfrist von 10 Jahren gemäß § 147 AO gespeichert (Art. 6 Abs. 1 lit. c DSGVO).

7. Transaktionale E-Mails

Soweit Sie im Portal eine entsprechende Aktion auslösen oder einer Aktion zugeordnet sind (neue Nachricht, neue Rechnung, neue Skizze, neuer Vertrag, neue Projekt-Anfrage), versenden wir transaktionale E-Mails an Ihre hinterlegte Adresse. Versanddienstleister ist die Resend Inc. (siehe Ziffer 9). Sie können den Versand bestimmter Benachrichtigungsarten in den Konto-Einstellungen deaktivieren oder Ruhezeiten konfigurieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).

8. Push-Benachrichtigungen

Sie können in den Konto-Einstellungen Browser-Push-Benachrichtigungen aktivieren. Hierfür wird ein Endpunkt Ihres Geräte- bzw. Browser-Push-Dienstes (Google FCM, Apple Push Notification Service, Mozilla Autopush oder Microsoft WNS — abhängig von Browser und Betriebssystem) auf unseren Servern gespeichert, zusammen mit den vom Browser bereitgestellten Verschlüsselungsschlüsseln. Diese Daten werden ausschließlich zum Versand der von Ihnen aktivierten Benachrichtigungen verwendet und sofort gelöscht, sobald Sie die Funktion deaktivieren oder Ihren Account kündigen.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung können Sie jederzeit über die Konto-Einstellungen oder die Browser-Einstellungen widerrufen.

9. Auftragsverarbeiter

Wir bedienen uns sorgfältig ausgewählter technischer Dienstleister, mit denen jeweils Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen sind:

• Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA — Hosting der Webanwendung. Auslieferung erfolgt vorrangig über die EU-Region Frankfurt (fra1); Edge-Funktionen können in weiteren Regionen ausgeführt werden. Drittlandtransfer abgesichert über Standardvertragsklauseln und EU-US Data Privacy Framework.
• Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 — Datenbank, Authentifizierung, Datei-Speicher und Realtime-Channels. Speicherregion der personenbezogenen Daten: eu-central-1 (Frankfurt). Drittlandtransfer-Risiken auf operativer Ebene durch Region-Lock weitgehend minimiert; Standardvertragsklauseln liegen ergänzend vor.
• Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA — Versand transaktionaler E-Mails. Drittlandtransfer abgesichert über Standardvertragsklauseln und EU-US Data Privacy Framework.
• Push-Dienste: Bei aktivierten Push-Benachrichtigungen erfolgt eine Zustellung über den Push-Server des verwendeten Browsers / Betriebssystems (Google LLC, Apple Inc., Mozilla Corporation oder Microsoft Corporation). Die jeweiligen Anbieter sind keine Auftragsverarbeiter, sondern eigenständig Verantwortliche für den Zustellweg.

10. Datenübermittlung in Drittländer

Personenbezogene Nutzungsdaten (Inhalte, Profil, Dateien) werden in der EU verarbeitet. Eine Übermittlung in die USA findet im Rahmen administrativer und operativer Vorgänge der unter Ziffer 9 genannten Dienstleister statt; soweit erforderlich, ist der Transfer durch Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und — bei Zertifizierung — durch das EU-US Data Privacy Framework abgesichert.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist, oder sofern gesetzliche Aufbewahrungspflichten bestehen:

• Konto- und Profildaten: bis zur Löschung des Accounts durch den Nutzer oder Beendigung der Geschäftsbeziehung
• Projektinhalte: bis zur Account-Löschung; in Einzelfällen länger zur Beweissicherung in laufenden Auseinandersetzungen
• Rechnungen und steuerrelevante Belege: 10 Jahre (§ 147 AO)
• Server-Logs: 14 Tage
• Push-Subscription-Daten: bis Deaktivierung der Funktion oder Account-Löschung

12. Ihre Rechte als betroffene Person

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen richten Sie bitte formlos anhello@fainzstudio.com. Ihren Account inklusive aller Profil- und Projektdaten können Sie zusätzlich jederzeit unter „Konto → Konto löschen“ eigenständig entfernen.

13. Beschwerderecht bei der Aufsichtsbehörde

Sie haben unbeschadet anderweitiger Rechtsbehelfe das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für unser Unternehmen zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart (www.baden-wuerttemberg.datenschutz.de).

14. Datensicherheit

Die Übertragung zwischen Ihrem Browser und unseren Servern erfolgt durchgängig über TLS-verschlüsselte Verbindungen (HTTPS). Datenbankzugriffe sind durch Row-Level-Security so abgesichert, dass Nutzer ausschließlich auf die ihnen zugeordneten Projekte zugreifen können. Datei-Downloads werden über zeitlich limitierte signierte URLs ausgeliefert. Zugriff auf produktive Daten ist innerhalb der fainz GmbH auf das technisch erforderliche Personal beschränkt.

15. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund geänderter Rechtslage, geänderter technischer Gegebenheiten oder eines geänderten Funktionsumfangs erforderlich wird. Die jeweils aktuelle Fassung ist unter portal.fainzstudio.com/datenschutz abrufbar.