Datenschutzerklärung

Datensparsamkeit ist bei uns Systemeigenschaft: Die Rechner laufen komplett im Browser, die Teambefragung ist anonym, und deine Angaben aus dem Benefit-Check werden nur mit deiner Einwilligung weitergegeben.

1 · Verantwortliche

Diese Website wird gemeinsam betrieben von Alexander Kindl (Wunsch Kandidat), Am breiten Weg 5B, 55234 Erbes-Büdesheim, kontakt@wunsch-kandidat.de, und Fabio Rausch (PraxisKonsil), Tibusstraße 24, 48143 Münster, info@praxiskonsil.de. Für die gemeinsame Verarbeitung im Rahmen des Benefit-Checks besteht eine Vereinbarung nach Art. 26 DSGVO; das Wesentliche daraus stellen wir dir auf Anfrage zur Verfügung. Du kannst deine Rechte bei beiden Verantwortlichen geltend machen.

2 · Hosting und Auftragsverarbeitung

a) Hosting und Auslieferung

Diese Website wird bei Lovable gehostet (Lovable Labs Incorporated, 1111b South Governors Avenue, Dover, DE 19904, USA). Veröffentlichte Seiten werden über ein weltweites Content-Delivery-Netzwerk ausgeliefert; laut der von Lovable veröffentlichten Unterauftragsverarbeiter-Liste kommt hierfür unter anderem Cloudflare, Inc. (San Francisco, USA) für Edge-Routing, DNS und Auslieferung zum Einsatz, mit Serverstandorten weltweit — nicht ausschließlich in der EU.

Beim Aufruf der Website verarbeiten Hoster und CDN automatisch Server-Logfiles, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browsertyp, Betriebssystem, Referrer-URL. Das ist technisch erforderlich, um dir die Website sicher und funktionsfähig anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO); soweit ein Zusammenhang mit einer Anfrage (z. B. Benefit-Check) besteht, zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Lovable gibt für allgemeine Log-Daten eine Aufbewahrung von bis zu 90 Tagen an; danach werden sie gelöscht oder anonymisiert. Für dieses rein technische Logging ist keine Cookie-Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

b) Domain-Registrierung und E-Mail-Postfach (Hostinger)

Die Domain wunsch-benefits.de sowie unsere E-Mail-Postfächer — kontakt@wunsch-benefits.de für allgemeine Anfragen und noreply@wunsch-benefits.de für die automatisierte Zusendung deiner Benefit-Check-Auswertung — betreiben wir bei Hostinger. Vertragspartei ist Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern, und damit innerhalb der EU ansässig. Für einzelne technische Funktionen — insbesondere E-Mail-Zustellung und -Sicherheit — setzt Hostinger weitere Unterauftragsverarbeiter ein, laut dessen veröffentlichter Unterauftragsverarbeiter-Liste unter anderem Amazon Web Services EMEA SARL und Google Cloud EMEA Limited (beide EU-ansässig) sowie MailChannels Corporation (Kanada) und Proofpoint, Inc. (USA). Für Übermittlungen an diese außereuropäischen Unterauftragsverarbeiter stützt sich Hostinger nach eigenen Angaben auf die EU-Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 DSGVO); für Kanada besteht ergänzend ein eigener Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Beim Versand und Empfang von E-Mails über diese Postfächer werden die dafür technisch erforderlichen Daten verarbeitet (Absender, Empfänger, Betreff, Inhalt, Metadaten wie Zeitstempel und IP-Adresse des Verbindungsaufbaus). Kontaktierst du uns per E-Mail oder über den Benefit-Check, verarbeiten wir deine Angaben zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO); die automatisierte Zusendung deiner Auswertung über noreply@wunsch-benefits.de stützt sich auf dieselbe Rechtsgrundlage. Für die Registrierung und Verwaltung der Domain verarbeitet Hostinger als Registrar zusätzlich die dafür erforderlichen Angaben (Art. 6 Abs. 1 lit. b DSGVO).

c) Datenbank und Backend (Lovable Cloud / Supabase)

Für Datenbank und Backend-Funktionen — unter anderem Speicherung deiner Angaben aus dem Benefit-Check, Verwaltung der Kundenprojekte und Speicherung der anonymen Umfrageantworten — nutzen wir „Lovable Cloud", das auf der Infrastruktur von Supabase (Supabase Pte. Ltd., Singapur, mit operativer Präsenz in den USA) basiert. Die für unser Projekt gewählte Datenbank-Region ist die AWS-Region us-east-2 (Ohio, USA) — die Daten liegen also tatsächlich in den USA und nicht an einem europäischen Standort.

Als zugrundeliegender Infrastrukturanbieter kommt nach unserer Kenntnis Amazon Web Services zum Einsatz; für Amazon-Web-Services-Konzerngesellschaften besteht nach eigenen Angaben von AWS grundsätzlich eine Zertifizierung unter dem EU-U.S. Data Privacy Framework, ergänzt um die EU-Standardvertragsklauseln der EU-Kommission zwischen Supabase und ihren Unterauftragsverarbeitern für nicht davon erfasste Verarbeitungen. Daten werden nach Angaben von Supabase bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand (AES-256) verschlüsselt. Zu grundsätzlichen Risiken eines behördlichen Zugriffs bei Anbietern mit US-Bezug siehe den Hinweis in Abschnitt 2 g).

In der Datenbank gespeichert werden insbesondere die im Benefit-Check angegebenen Kontakt- und Bedarfsdaten sowie Projekt-/Kundendaten; bei der anonymen Teambefragung ausschließlich die abgegebenen Antworten zusammen mit einem technischen Geräte-Kennzeichen zur Erkennung von Mehrfachteilnahmen — deine IP-Adresse wird dabei nicht gespeichert.

d) KI-gestützte Auswertung der Teambefragung

Für die automatisierte Auswertung der anonymen Teambefragung nutzen wir das „AI Gateway" von Lovable. Die Anfrage kann dabei über den technischen Routing-Dienst OpenRouter, Inc. (USA) geleitet werden, bevor sie ein Sprachmodell von Google (Google LLC, Mountain View, USA) erreicht. An die Anbieter übermittelt werden ausschließlich aggregierte, anonyme Kennzahlen — etwa Durchschnittswerte, Prozentanteile, Betriebsart, Teilnehmerzahl — sowie der allgemeine Tarifkatalog. Es werden keine Einzelantworten, Namen, IP-Adressen oder sonstigen unmittelbar identifizierenden Daten einzelner Teilnehmender übermittelt.

Die übermittelten Kennzahlen sind aggregiert und für sich genommen nicht auf einzelne Personen zurückführbar. Soweit hierin ausnahmsweise dennoch ein Personenbezug liegen sollte — etwa bei sehr kleinen Teilnehmergruppen —, stützen wir die Verarbeitung auf unser berechtigtes Interesse an einer effizienten, automatisierten Auswertung anonymisierter Umfragedaten (Art. 6 Abs. 1 lit. f DSGVO); eine gesonderte Einwilligung ist hierfür nicht erforderlich.

e) Terminbuchung (Cal.com)

Für die Buchung von Erstgesprächen binden wir den Kalenderdienst Cal.com ein (Cal.com, Inc., San Francisco, USA; genutzt wird die als EU-Variante beworbene Instanz cal.eu, Kalender unseres Partners PraxisKonsil). Der Kalender lädt nicht automatisch beim Seitenaufruf: Angezeigt wird zunächst nur ein Platzhalter; erst wenn du aktiv auf „Externe Medien akzeptieren & Kalender laden" klickst, werden Daten — unter anderem deine IP-Adresse sowie gegebenenfalls Cookies von Cal.com — an Cal.com übertragen. Alternativ kannst du den Kalender direkt in einem neuen Tab auf der Cal.com-Website öffnen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für die Terminvereinbarung selbst zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Ob Cal.com, Inc. dem EU-U.S. Data Privacy Framework beigetreten ist, war nicht abschließend feststellbar; soweit Daten in die USA gelangen, stützt sich die Übermittlung auf die EU-Standardvertragsklauseln.

f) Auftragsverarbeitung

Mit den unter a) bis e) genannten Dienstleistern, die in unserem Auftrag personenbezogene Daten verarbeiten — insbesondere Lovable samt der eingesetzten Unterauftragsverarbeiter Supabase, Cloudflare, Google und OpenRouter (KI-Auswertung), Hostinger (Domain-Registrierung und E-Mail-Postfächer) samt dessen Unterauftragsverarbeitern sowie Cal.com —, haben wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen bzw. schließen diese vor Inbetriebnahme ab. Die Liste der von Lovable eingesetzten Unterauftragsverarbeiter ist über das öffentliche Trust Center von Lovable einsehbar, die von Hostinger eingesetzten über dessen Data Processing Addendum; Änderungen werden dort jeweils vorab angekündigt.

g) Drittlandübermittlung

Ein Teil der genannten Anbieter verarbeitet Daten außerhalb der EU/des EWR (Drittland), vor allem in den USA (Lovable/Cloudflare, Supabase/AWS, Google, OpenRouter, Cal.com) sowie vereinzelt in Kanada (MailChannels als Unterauftragsverarbeiter von Hostinger). Der Vertragspartner für Domain und E-Mail-Postfach, Hostinger International Ltd., ist in Zypern und damit innerhalb der EU registriert.

Die Übermittlung an Drittland-Anbieter erfolgt je nach Empfänger entweder auf Grundlage einer Zertifizierung unter dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO, soweit zertifiziert), auf Grundlage des bestehenden Angemessenheitsbeschlusses für Kanada (Art. 45 DSGVO) oder — wo keine dieser Grundlagen greift — auf Grundlage der EU-Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 DSGVO), jeweils ergänzt um technische und organisatorische Schutzmaßnahmen wie Verschlüsselung. Trotz dieser Garantien besteht ein rechtliches Restrisiko, dass US-Behörden auf Grundlage von US-Recht (z. B. CLOUD Act, FISA Section 702) Zugriff auf die Daten verlangen können; dieses Restrisiko besteht grundsätzlich bei jedem Cloud-Anbieter mit US-Bezug, unabhängig vom physischen Serverstandort. Kopien der jeweils vereinbarten Garantien kannst du bei uns unter kontakt@wunsch-benefits.de anfordern.

3 · Benefit-Check und Kontaktdaten

Beantwortest du die Fragen im Benefit-Check, verarbeiten wir deine Angaben (Betriebsart, Teamgröße, bestehende Benefits, Ziele, Budgetrahmen) sowie die von dir angegebenen Kontaktdaten (Vorname, Betriebsname, E-Mail-Adresse), um deine persönliche Auswertung zu erstellen und dir zuzusenden.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du im Formular ausdrücklich erteilst. Mit ihr werden deine Angaben an beide Partner — PraxisKonsil (Versicherungsmakler) und Wunsch Kandidat — übermittelt, damit wir dich zur Auswertung beraten können. Eine Weitergabe an sonstige Dritte erfolgt nicht. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (formlos per E-Mail an eine der oben genannten Adressen); wir löschen deine Daten dann unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Die Angaben werden in unserer Datenbank gespeichert und zur Erstellung und Zusendung der Auswertung automatisiert über das bei Hostinger betriebene Postfach noreply@wunsch-benefits.de an dich versendet (Auftragsverarbeitung nach Art. 28 DSGVO); Details dazu findest du in Abschnitt 2 b).

4 · Terminbuchung (Cal.com)

Für die Buchung von Erstgesprächen binden wir den Kalenderdienst Cal.com ein. Der Kalender lädt erst, wenn du die Terminauswahl aktiv öffnest und dem Laden externer Inhalte zustimmst. Rechtsträger, Serverstandort und Übermittlungsgrundlage findest du in Abschnitt 2 e).

5 · Anonyme Teambefragung

Die Teambefragung ist so gebaut, dass wir keine personenbezogenen Daten der Teilnehmenden verarbeiten: kein Login, keine Speicherung der IP-Adresse, keine Einzelantwort-Ansicht — Ergebnisse werden erst ab fünf eingegangenen Antworten angezeigt. Für den einladenden Betrieb verarbeiten wir nur die Organisationsdaten (Betriebsname, Ansprechpartner, Teamgröße) zur Durchführung der Befragung (Art. 6 Abs. 1 lit. b DSGVO). Soweit wir dabei als Auftragsverarbeiter tätig werden, schließen wir mit deinem Betrieb einen Auftragsverarbeitungsvertrag.

6 · Rechner

Alle Rechner (Fehlzeiten, Steuer/Sachbezug, Lohnerhöhung vs. bKV) laufen vollständig in deinem Browser. Keine deiner Eingaben wird gespeichert oder an uns übertragen.

7 · Cookies und lokale Speicherung

Wir setzen keine Tracking- oder Werbe-Cookies ein. Im lokalen Speicher deines Browsers (localStorage) legen wir ab: (1) deine Cookie-/Einwilligungs-Präferenzen (Schlüssel „wb-cookie-consent", Speicherdauer 12 Monate, danach fragen wir erneut), (2) deine Barrierefreiheits-Einstellungen (Schlüssel „wb-accessibility", bis zum Zurücksetzen), (3) auf Umfrageseiten einen zufälligen Geräte-Token (Schlüssel „wb-umfrage-geraet") zur Vermeidung doppelter Teilnahmen — ohne Personenbezug, (4) im geschützten Admin-Bereich die Sitzungsdaten der Anmeldung (technisch erforderlich). Diese Speicherung ist für den Betrieb erforderlich bzw. erfolgt auf Grundlage deiner Einwilligung (§ 25 TDDDG, Art. 6 Abs. 1 lit. a/f DSGVO). Externe Inhalte (Terminkalender von Cal.com) laden erst nach deiner Einwilligung über das Cookie-Banner oder den Hinweis am jeweiligen Inhalt.

8 · Externe Inhalte (Schriften, Skripte)

Alle Schriftarten dieser Website sind lokal auf dem Server gespeichert; beim Seitenaufruf wird keine Verbindung zu Servern von Google oder anderen Schriftanbietern aufgebaut. Externe Skript-CDNs setzen wir nicht ein.

9 · Deine Rechte

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

10 · Speicherdauer und Sicherheit

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. aus Handels- und Steuerrecht, für Vermittlerdokumentation nach § 61 VVG) bestehen. Die Übertragung dieser Website erfolgt verschlüsselt per TLS/SSL.

11 · KI-generierte Bilder

Auf dieser Website setzen wir einzelne Bilder ein, die mit Hilfe künstlicher Intelligenz erzeugt wurden. Das betrifft insbesondere die Bilder, die Alexander Kindl und Fabio Rausch zeigen, sowie weitere Motive, auf denen Personen dargestellt sind. Diese Bilder sind keine Fotografien realer Situationen, sondern synthetisch erstellte Darstellungen.

Für die Erzeugung der Bilder wurden keine Daten von Besucherinnen und Besuchern dieser Website verwendet; beim Betrachten der Bilder werden über die reine Auslieferung der Website hinaus keine personenbezogenen Daten an Dritte übermittelt (siehe Abschnitt 2 a).