Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Moritz Lehmann An der Bachschleife 1 99310 Arnstadt Deutschland

E-Mail: hallo@dein-ordner.de

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Besucher und Kunden nur, soweit dies zur Bereitstellung der Website, unserer Inhalte und Leistungen sowie zur Abwicklung von Bestellungen erforderlich ist. Rechtsgrundlagen sind insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO — Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen (z.B. Kaufabwicklung),
• Art. 6 Abs. 1 lit. c DSGVO — Verarbeitung zur Erfüllung rechtlicher Pflichten (z.B. steuerliche Aufbewahrungspflichten),
• Art. 6 Abs. 1 lit. f DSGVO — Verarbeitung zur Wahrung berechtigter Interessen (z.B. technischer Betrieb, Sicherheit, Missbrauchserkennung),
• Art. 6 Abs. 1 lit. a DSGVO — Verarbeitung auf Grundlage Ihrer Einwilligung (z.B. E-Mail-Serie zum Vorsorge-Check).

3. Hosting der Website und E-Mail-Postfach (ALL-INKL)

Unsere Website wird bei der ALL-INKL.COM – Neue Medien Münnich, Inhaber: René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland („All-Inkl”) gehostet. Beim Aufruf unserer Seiten verarbeitet All-Inkl in unserem Auftrag automatisch Informationen in sogenannten Server-Logfiles, die Ihr Browser übermittelt:

• IP-Adresse des anfragenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite/Datei und übertragene Datenmenge,
• Browsertyp und -version, Betriebssystem,
• Referrer-URL (zuvor besuchte Seite).

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der technisch fehlerfreien Darstellung, der Stabilität und der Sicherheit unserer Website. Die Logfiles werden nur so lange gespeichert, wie es für die genannten Zwecke erforderlich ist, und anschließend gelöscht bzw. anonymisiert.

E-Mails an uns. Schreiben Sie uns eine E-Mail, etwa an hallo@dein-ordner.de oder als Antwort auf eine unserer E-Mails, verarbeiten wir Ihre E-Mail-Adresse, den Inhalt Ihrer Nachricht und gegebenenfalls den darin zitierten Text unserer E-Mail. Dieser kann zum Beispiel Ihre offenen Punkte aus dem Vorsorge-Check nennen. Unser E-Mail-Postfach betreibt All-Inkl in unserem Auftrag. Wir nutzen diese Angaben nur, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Bestellung geht. Bei einer Abmeldung, einem Widerruf oder einem Widerspruch ist es unsere Pflicht, diesen umzusetzen (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 3 und Art. 21 Abs. 3 DSGVO). Im Übrigen ist es unser berechtigtes Interesse, Ihre Nachricht zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen Ihre Nachricht, sobald Ihr Anliegen erledigt ist, außer gesetzliche Aufbewahrungspflichten stehen entgegen (etwa für Geschäftsbriefe zu einer Bestellung, § 147 AO). Eine Abmeldung vermerken wir wie in Ziffer 10 unter „Speicherdauer“ beschrieben.

Mit All-Inkl haben wir einen Vertrag über Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen.

4. Checkout, Download-Bereitstellung und Infrastruktur (Cloudflare)

Für den Bestellvorgang (Checkout-API) und die Bereitstellung der gekauften Dateien (Download-Auslieferung, Speicherung in Cloudflare R2, Bestelldatenbank Cloudflare D1) sowie für die Anmeldungen zur E-Mail-Serie zum Vorsorge-Check (Datenbank Cloudflare D1, siehe Ziffer 10) nutzen wir Dienste von Cloudflare. Anbieter ist die Cloudflare Germany GmbH, Rosental 7, 80331 München, Deutschland, eine Tochtergesellschaft der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA („Cloudflare”).

Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt der Anfrage, technische Merkmale der Anfrage) sowie die für die Bestellabwicklung erforderlichen Bestell- und Downloaddaten. Die Verarbeitung erfolgt zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie auf Grundlage unseres berechtigten Interesses an einem sicheren, leistungsfähigen und vor Angriffen geschützten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Für die Anmeldedaten zur E-Mail-Serie gelten die in Ziffer 10 genannten Rechtsgrundlagen.

Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. Eine Beschränkung der Verarbeitung auf Rechenzentren in der EU haben wir bei Cloudflare nicht eingerichtet. Unsere Datenbank (Cloudflare D1) wird derzeit in einem Rechenzentrum in Westeuropa betrieben; diesen Standort sichert Cloudflare nicht zu. Soweit bei der Verarbeitung durch Cloudflare Daten in die USA übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF); Cloudflare, Inc. ist unter dem DPF zertifiziert. Ergänzend bestehen Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

5. Zahlungsabwicklung (Stripe)

Die Zahlungsabwicklung erfolgt über Stripe. Anbieter für Kunden in der EU ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; Daten können auch an die Stripe, Inc., 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA übermittelt werden („Stripe”).

Wenn Sie bei uns bestellen, werden die für die Zahlung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Zahlungsmittel- bzw. Kartendaten, Rechnungsbetrag, ggf. Rechnungsadresse) direkt von Stripe erhoben und verarbeitet. Ihre vollständigen Zahlungsdaten (z.B. Kartennummer) werden ausschließlich bei Stripe verarbeitet und uns nicht übermittelt; wir erhalten lediglich eine Bestätigung der Zahlung sowie die für die Bestellabwicklung erforderlichen Angaben.

Wählen Sie PayPal oder Klarna, leitet Stripe Sie zum jeweiligen Anbieter weiter. Dieser erhält die für die Zahlung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Betrag, ggf. Rechnungsanschrift) und verarbeitet sie in eigener Verantwortung, auch zur Betrugsprävention und bei Klarna, je nach gewählter Zahlungsart (etwa Kauf auf Rechnung oder Ratenkauf), zur Identitäts- und Bonitätsprüfung. Anbieter sind die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg (Datenschutzhinweise: https://www.paypal.com/de/legalhub/paypal/privacy-full) und die Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Schweden (Datenschutzhinweise: https://www.klarna.com/de/datenschutz/). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe verarbeitet Daten teilweise auch in eigener Verantwortung, insbesondere zur Betrugsprävention und zur Erfüllung zahlungsrechtlicher Pflichten. Soweit Daten in die USA übermittelt werden, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Stripe, Inc. ist DPF-zertifiziert) sowie ergänzend auf Standardvertragsklauseln.

Das Skript Stripe.js lädt Ihr Browser bereits, sobald Sie die Bestellseite oder den Bestellbereich unserer Startseite erreichen, auch bevor Sie etwas eingeben; Einzelheiten unter Ziffer 11, „Speicherung auf Ihrem Endgerät“.

Weitere Informationen: https://stripe.com/de/privacy

6. E-Mail-Versand (Resend)

Für den Versand von E-Mails nutzen wir den Dienst Resend des Anbieters Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA („Resend“). Resend verarbeitet die Daten in unserem Auftrag; mit Resend besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum). Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

Transaktions-E-Mails. Für E-Mails im Rahmen der Kaufabwicklung (insbesondere Bestellbestätigung und Zustellung Ihres Download-Links) werden Ihre E-Mail-Adresse, Ihr Name sowie die für die jeweilige E-Mail erforderlichen Bestellinformationen verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

E-Mails zum Vorsorge-Check. Für die Bestätigungs-E-Mail und die E-Mail-Serie (siehe Ziffer 10) werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen E-Mail verarbeitet, bei der Serie also auch Ihr Vorsorge-Score und die Themen Ihrer offenen Punkte. Rechtsgrundlage für die Serie ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Bestätigungs-E-Mail senden wir, um zu prüfen, ob die Anmeldung vom Inhaber der Adresse stammt, und um Ihre Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO).

7. Bestell- und Kundendaten

Zur Abwicklung Ihrer Bestellung verarbeiten wir die von Ihnen im Bestellprozess angegebenen Daten (Name, E-Mail-Adresse, ggf. Rechnungsanschrift, bestellte Produkte, Bestell- und Zahlungsstatus). Im Bestellformular stimmen Sie außerdem zu, dass wir vor Ablauf der Widerrufsfrist mit der Bereitstellung beginnen, und bestätigen Ihre Kenntnis vom Erlöschen des Widerrufsrechts. Als Nachweis der Voraussetzungen nach § 356 Abs. 6 BGB speichern wir, wann diese Erklärung bei unserem Server eingegangen ist und in welcher Fassung des Textes Sie sie abgegeben haben, und zwar beim Bestelldatensatz und bei Stripe zur jeweiligen Zahlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir speichern diese Daten, solange es für die Vertragsabwicklung einschließlich Gewährleistung erforderlich ist. Nicht abgeschlossene Bestellvorgänge (ohne Zahlung) löschen wir 30 Tage nach ihrem Beginn. Darüber hinaus bewahren wir Daten auf, soweit gesetzliche Aufbewahrungsfristen (insbesondere aus Handels- und Steuerrecht, §§ 147 AO, 257 HGB) dies verlangen; nach Ablauf der jeweiligen Fristen werden die Daten gelöscht. Rechtsgrundlage der Aufbewahrung ist Art. 6 Abs. 1 lit. c DSGVO.

8. Download-Links und Missbrauchserkennung

Nach dem Kauf erhalten Sie einen personalisierten Download-Link mit einem zeitlich begrenzt gültigen Zugriffs-Token — per E-Mail und, wenn Sie die Bestellung in diesem Browser-Tab abgeschlossen haben, zusätzlich direkt auf der Bestätigungsseite. Dafür merkt sich die Seite während des Bestellvorgangs die Kennung Ihrer Bestellung im Sitzungsspeicher Ihres Browsers (siehe Ziffer 11, Eintrag do-order) und fragt damit die Links bei unserem Server ab; der Server gibt sie nur für bezahlte Bestellungen der letzten 48 Stunden heraus. Beim Abruf des Downloads verarbeiten wir technische Zugriffsdaten (insbesondere Zeitpunkt des Abrufs, verwendetes Token, Anzahl der Abrufe sowie den User-Agent Ihres Browsers). Diese Daten nutzen wir ausschließlich, um die ordnungsgemäße Zustellung sicherzustellen und eine missbräuchliche Nutzung oder unberechtigte Weitergabe von Download-Links zu erkennen und zu unterbinden.

Zur Kennzeichnung der gekauften Dateien versehen wir zudem jedes ausgelieferte PDF mit einer individuellen Lizenz-ID (sichtbar in der Fußzeile und auf der Lizenzseite) sowie — auf der Lizenzseite und in den Dokument-Metadaten — mit Ihrer E-Mail-Adresse und dem Ausstellungsdatum. Die Zuordnung von Lizenz-ID und Bestellung speichern wir in unserer Bestelldatenbank. Diese Kennzeichnung dient dem Nachweis der Lizenzierung und dem Schutz vor unberechtigter Verbreitung (Art. 6 Abs. 1 lit. b und f DSGVO).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer digitalen Produkte vor unberechtigtem Zugriff. Die Zugriffsdaten werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind, spätestens 12 Monate nach dem Kauf.

9. Webanalyse (Plausible Analytics)

Wir nutzen für die Webanalyse den Dienst Plausible Analytics in einer selbst gehosteten Variante auf einem eigenen Server (Serverstandort in der EU). Plausible arbeitet ohne Cookies und ohne personenbezogene Identifier: Das Skript legt keine Informationen auf Ihrem Endgerät ab; es prüft lediglich, ob Sie die Messung für sich selbst über ein Ausschluss-Merkmal im lokalen Speicher Ihres Browsers (plausible_ignore) abgeschaltet haben. Ihre IP-Adresse wird nicht gespeichert und eine Identifizierung einzelner Besucher oder ein seitenübergreifendes Tracking findet nicht statt. Erfasst werden ausschließlich aggregierte Nutzungsstatistiken (z.B. Seitenaufrufe, Verweisquellen, Gerätetyp).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der reichweitenbezogenen Auswertung der Nutzung unserer Website zur Verbesserung unseres Angebots. Sie können der Verarbeitung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO).

10. Vorsorge-Check (Quiz) und E-Mail-Serie zu Ihren offenen Punkten

Auf unserer Website können Sie einen kostenlosen Vorsorge-Check (Quiz) durchführen. Die Fragen beantworten Sie ohne Angabe personenbezogener Daten; die Auswertung erfolgt in Ihrem Browser. Für unsere Statistik (Ziffer 9) erfassen wir ohne Bezug zu Ihrer Person nur, dass ein Check begonnen und abgeschlossen wurde, Score und Ergebnis-Profil sowie, ob am Ergebnis das E-Mail-Formular abgesendet oder der Kauf-Button angeklickt wurde; Ihre E-Mail-Adresse gehört nicht dazu. Zusammen mit Ihrer E-Mail-Adresse übertragen wir Angaben aus dem Check nur, wenn Sie am Ergebnis das E-Mail-Formular absenden.

Die E-Mail-Serie. Am Ergebnis können Sie freiwillig eine kurze E-Mail-Serie anfordern. Haben Sie offene Punkte, besteht sie aus höchstens sechs E-Mails in etwa zehn Tagen: Direkt nach Ihrer Bestätigung schicken wir eine Übersicht Ihrer offenen Punkte, danach im Abstand von etwa zwei Tagen je eine Anleitung zu bis zu vier dieser Punkte, in einer festen Reihenfolge, und zum Schluss eine Abschluss-E-Mail. Haben Sie keine offenen Punkte, sind es höchstens zwei E-Mails: eine Übersicht und etwa zwei Tage später eine Abschluss-E-Mail. Die E-Mails verweisen auf amtliche Vorlagen und auf unsere Ratgeber. Sie enthalten auch Werbung für unseren kostenpflichtigen Notfallordner und seine Zusatzmodule. Welche Anleitungen Sie erhalten und ob diese auf den Notfallordner oder auf ein Zusatzmodul hinweisen, ergibt sich automatisch aus Ihren offenen Punkten; eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO ist damit nicht verbunden. Nach der letzten E-Mail endet die Serie. Weitere Werbe-E-Mails schicken wir Ihnen auf Grundlage dieser Anmeldung nicht.

Rechtsgrundlage. Die Verarbeitung für die E-Mail-Serie beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Diese Einwilligung ist zugleich die für Werbung per E-Mail erforderliche vorherige ausdrückliche Einwilligung nach § 7 Abs. 2 Nr. 2 UWG. Die Anmeldung ist freiwillig. Ihr Ergebnis wird Ihnen auch ohne Angabe einer E-Mail-Adresse vollständig angezeigt.

Welche Daten wir verarbeiten. Wir verarbeiten Ihre E-Mail-Adresse, Ihren Vorsorge-Score und Ihre offenen Punkte, also die Themen des Checks, die Sie nicht mit „Ja“ beantwortet haben, in der festen Reihenfolge der Serie. Aus den offenen Punkten kann hervorgehen, dass Sie zum Beispiel minderjährige Kinder oder ein Haustier haben oder selbstständig sind. Welche Antwort Sie bei den einzelnen Fragen gewählt haben, speichern wir darüber hinaus nicht. Außerdem speichern wir, welche E-Mail der Serie wir wann versendet haben, gegebenenfalls Zeitpunkt und Weg Ihrer Abmeldung sowie Zeitpunkt und Grund für das Ende der Serie (Serie abgeschlossen, Abmeldung, Kauf oder neue Anmeldung).

Double-Opt-in und Nachweis Ihrer Einwilligung. Nach dem Absenden des Formulars erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst wenn Sie über diesen Link und die Schaltfläche auf der folgenden Seite bestätigen, beginnt die Serie. Ohne Bestätigung erhalten Sie von uns keine weitere E-Mail. Um Ihre Einwilligung nachweisen zu können, speichern wir Ihre E-Mail-Adresse, den Zeitpunkt der Anmeldung, die Fassung des Einwilligungstextes, der Ihnen am Formular angezeigt wurde, Zeitpunkt und Text der Bestätigungs-E-Mail, die Fassung der Bestätigungsseite sowie den Zeitpunkt Ihrer Bestätigung. Ihre IP-Adresse speichern wir hierfür nicht. Rechtsgrundlage dieser Protokollierung ist unsere Pflicht, die Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. c i. V. m. Art. 5 Abs. 1 lit. a, Abs. 2 und Art. 7 Abs. 1 DSGVO), sowie unser berechtigtes Interesse, Rechtsansprüche abwehren zu können (Art. 6 Abs. 1 lit. f DSGVO). Diesen Nachweis bewahren wir auch nach einem Widerruf auf (siehe „Speicherdauer“). Nicht bestätigte Anmeldungen bewahren wir kurz auf, um belegen zu können, dass die Bestätigungs-E-Mail auf eine Eingabe im Formular zurückgeht. Um wiederholte Anmeldungen zu begrenzen, prüfen wir bei jedem Absenden anhand aller Anmeldungen der letzten 29 Tage, ob dieselbe Adresse schon eingetragen wurde. Schreibweisen derselben Adresse, etwa mit „+Zusatz“ vor dem @, gelten dabei als gleich; dafür speichern wir zu jeder Anmeldung auch diese vereinheitlichte Form Ihrer Adresse (Art. 6 Abs. 1 lit. f DSGVO). Zum Schutz vor massenhaften Anmeldungen begrenzt unser Server außerdem kurzzeitig die Zahl der Anmeldungen je IP-Adresse (siehe Ziffer 4); in unserer Datenbank speichern wir die IP-Adresse dafür nicht. Fordern Sie die Serie erneut an, legen wir einen neuen Eintrag mit eigener Bestätigung an; mit der neuen Bestätigung endet eine noch laufende Serie, und ältere, noch nicht bestätigte Anmeldungen derselben Adresse werden ungültig.

Abgleich mit Käufen. Bei Ihrer Bestätigung und vor jeder E-Mail der Serie prüfen wir, ob unter derselben E-Mail-Adresse eine bezahlte (auch eine später erstattete) Bestellung bei uns vorliegt (Bestelldaten, siehe Ziffer 7). Ist das der Fall, endet die Serie und wir senden keine E-Mails aus der Serie mehr. Bestellungen unter einer anderen E-Mail-Adresse erkennen wir nicht. Rechtsgrundlage ist unser berechtigtes Interesse, Kundinnen und Kunden keine Werbung für ein Produkt zu schicken, das sie bereits gekauft haben (Art. 6 Abs. 1 lit. f DSGVO).

Links in den E-Mails. Links auf unsere Website enthalten Kampagnen-Parameter: utm_source=email, utm_medium=email, utm_campaign=vorsorge-serie sowie utm_content mit der Stelle der E-Mail in der Serie („uebersicht“, „anleitung-1“ bis „anleitung-4“ oder „abschluss“), aber ohne das Thema der E-Mail. Diese Parameter sind für alle Empfängerinnen und Empfänger an derselben Stelle der Serie gleich und enthalten weder Ihre E-Mail-Adresse noch eine persönliche Kennung. Ob Sie persönlich eine E-Mail öffnen oder einen Link anklicken, erfassen wir nicht: Die E-Mails enthalten keine Zählpixel, laden keine Bilder von Servern nach, und Links werden nicht über einen Tracking-Dienst umgeleitet. Rufen Sie über einen solchen Link unsere Website auf, gelten dort wie auf jeder Seite die Ziffern 9 und 11. Plausible zählt dann ohne Bezug zu Ihrer Person, wie viele Besuche über welche Stelle der Serie kamen. Das Skript von Microsoft übermittelt die Adresse der aufgerufenen Seite einschließlich dieser Parameter an Microsoft. Das gilt auch für die Seite dein-ordner.de/bestaetigt/, auf die wir Sie nach Ihrer Bestätigung weiterleiten. Außerdem werden die Parameter für längstens 90 Tage in Ihrem Browser gespeichert und bei einem späteren Bestellvorgang mit der Bestellung hinterlegt. Da die Bestellung Ihre E-Mail-Adresse enthält, lässt sich dann erkennen, über welche E-Mail der Serie Sie zu uns gekommen sind. Wir nutzen das ausschließlich, um auszuwerten, welche E-Mails der Serie zu Bestellungen führen. Diese Zuordnung löschen wir 180 Tage nach dem Bestellvorgang aus dem Bestelldatensatz; bei nicht abgeschlossenen Bestellungen nach 30 Tagen. Für die übrigen Bestelldaten gilt Ziffer 7. Rechtsgrundlage ist unser berechtigtes Interesse an dieser Auswertung (Art. 6 Abs. 1 lit. f DSGVO); Sie können dem jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO, siehe Ziffer 12).

Versand und Speicherort. Die E-Mails versenden wir über Resend (siehe Ziffer 6). Ihre Anmeldedaten liegen in unserer Datenbank bei Cloudflare (siehe Ziffer 4). Beide Anbieter verarbeiten die Daten in unserem Auftrag. Ihre Anmeldedaten geben wir nicht an Dritte zu deren eigenen Zwecken weiter.

Abmeldung, Widerruf und Widerspruch gegen Werbung. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen und der Verwendung Ihrer Daten für Werbung jederzeit widersprechen (Art. 7 Abs. 3, Art. 21 Abs. 2 DSGVO). Am einfachsten geht das mit einem Klick auf den Abmeldelink am Ende jeder E-Mail der Serie. Der Link funktioniert ohne Anmeldung und ohne Ablaufdatum. Zeigt Ihr E-Mail-Programm eine eigene Schaltfläche zum Abbestellen an, können Sie auch diese nutzen. Ebenso genügt eine Antwort mit „Abmelden“ oder eine E-Mail an hallo@dein-ordner.de (siehe Ziffer 3). Nach Ihrer Abmeldung erhalten Sie keine E-Mails aus der Serie mehr; auch andere, noch laufende oder nicht bestätigte Anmeldungen derselben Adresse (auch in anderer Schreibweise, etwa mit „+Zusatz“) enden damit. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. E-Mails zur Abwicklung einer Bestellung (siehe Ziffern 6 bis 8) sind von der Abmeldung nicht betroffen.

Speicherdauer. Nicht bestätigte Anmeldungen löschen wir spätestens 30 Tage nach dem Absenden des Formulars; Vorsorge-Score und offene Punkte daraus löschen wir schon, wenn der Bestätigungslink abgelaufen ist, spätestens 8 Tage nach dem Absenden. Vorsorge-Score, offene Punkte und die Planung der noch nicht versendeten E-Mails löschen wir, sobald die Serie endet, spätestens 7 Tage danach; im Versandprotokoll bleibt dann nur, die wievielte E-Mail der Serie wann versendet wurde, nicht ihr Thema. Die übrigen Angaben bewahren wir zum Nachweis auf und nutzen sie in den ersten 29 Tagen nach einer Anmeldung außerdem, um wiederholte Anmeldungen zu begrenzen: E-Mail-Adresse und ihre vereinheitlichte Form, Zeitpunkte, Fassung des Einwilligungstextes, Fassung der Bestätigungsseite, Text der Bestätigungs-E-Mail, Versandprotokoll und Abmeldung. Wir löschen sie drei Jahre nach dem Ende des Kalenderjahres, in dem die Serie geendet hat. Das entspricht den regelmäßigen Verjährungsfristen (§§ 195, 199 Abs. 1 BGB, § 31 Abs. 2 Nr. 1 OWiG).

11. Werbe-Erfolgsmessung (OpenAI Ads, Microsoft Ads)

Zur Erfolgsmessung unserer Werbeanzeigen in ChatGPT setzen wir das Measurement Pixel von OpenAI ein. Anbieter ist OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland; Daten können auch an die OpenAI, L.L.C., San Francisco, USA übermittelt werden („OpenAI”).

Ihr Browser lädt das Skript von OpenAI erst, nachdem Sie im Hinweis am unteren Seitenrand „Alle akzeptieren“ gewählt haben — dann auf jeder Seite unserer Website, unabhängig davon, ob Sie über eine Anzeige zu uns gekommen sind. Ihre Wahl merken wir uns in Ihrem Browser (Eintrag do-consent, siehe Übersicht unten); wählen Sie „Nur notwendige“, wird das Skript nicht geladen. Beim ersten Seitenaufruf nach Ihrer Zustimmung legt das Skript auf Ihrem Endgerät ein Cookie namens __obref mit einer zufällig erzeugten Kennung an, das 365 Tage gespeichert bleibt. Bei jedem Seitenaufruf sendet das Skript eine Meldung an OpenAI. Sie enthält die Adresse der aufgerufenen Seite und, soweit Ihr Browser sie mitteilt, die Adresse der zuvor besuchten Seite, jeweils ohne den Teil ab einem „?“, außerdem den Zeitpunkt und die Kennung aus __obref. Mit jeder Verbindung erhält OpenAI technisch bedingt auch Ihre IP-Adresse und Angaben zu Ihrem Browser. Lässt Ihr Browser Cookies von Drittanbietern zu, setzen die Server von OpenAI beim Laden des Skripts und beim Empfang der Meldungen außerdem technische Cookies von Cloudflare für ihre eigenen Adressen (bzrcdn.openai.com und bzr.openai.com; siehe die Übersicht „Speicherung auf Ihrem Endgerät“ am Ende dieser Ziffer). Cookies, die Ihr Browser für diese Adressen bereits gespeichert hat, sendet er beim Laden des Skripts und mit den Meldungen, die die Kennung aus __obref enthalten, an OpenAI mit.

Beim Beginn eines Bestellvorgangs und nach einem abgeschlossenen Kauf meldet das Skript zusätzlich diese Ereignisse mit dem jeweiligen Betrag, damit Werbeanzeigen dem Kauf zugeordnet werden können. Rufen Sie unsere Website über eine Anzeige in ChatGPT auf, liest das Skript die dabei in der Adresse übergebene Kennung (oppref) aus und speichert sie für 30 Tage in einem Cookie namens __oppref auf Ihrem Endgerät. Solange dieses Cookie besteht, sendet das Skript die Kennung mit jeder Meldung mit, damit Ihre Seitenaufrufe und Ereignisse dieser Anzeige zugeordnet werden können. Zusätzlich übermitteln wir dieselben Kauf-Ereignisse serverseitig an OpenAI (Conversions API); doppelte Meldungen werden über eine Ereignis-Kennung zusammengeführt.

In unserem Werbekonto bei OpenAI ist derzeit außerdem die automatische Zuordnung von Kundendaten („Automatic Advanced Matching“) eingeschaltet. Das Skript wertet dann Formularfelder und bestimmte Bereiche der jeweiligen Seite aus, auch während Sie ein Formular ausfüllen oder absenden. Erkennt es dabei eine E-Mail-Adresse, eine Telefonnummer oder einen Namen, bildet es daraus noch in Ihrem Browser mit dem Verfahren SHA-256 einen Hashwert und sendet diesen mit den Meldungen zum Beginn eines Bestellvorgangs und zu einem Kauf an OpenAI. Auf unserer Website betrifft das insbesondere die E-Mail-Adresse, die Sie im Bestellformular eingeben. Die E-Mail-Adresse selbst wird dabei nicht im Klartext übertragen. Der Hashwert ist aber nicht anonym: Aus derselben E-Mail-Adresse entsteht immer derselbe Hashwert, sodass sie sich daran wiedererkennen lässt. OpenAI nutzt diese Hashwerte nach eigenen Angaben, um Käufe auch dann Werbeanzeigen zuordnen zu können, wenn keine Kennung eines Anzeigenklicks vorliegt.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen von Informationen auf Ihrem Endgerät § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen: Wählen Sie über „Cookie-Einstellungen“ am Seitenende „Nur notwendige“ — ab dem nächsten Seitenaufruf wird das Skript nicht mehr geladen; bereits gesetzte Cookies von OpenAI können Sie in Ihrem Browser löschen. Zudem verhindern gängige Content-/Werbeblocker sowie das Blockieren von Drittanbieter-Skripten im Browser das Laden des Pixels vollständig. Soweit Daten in die USA übermittelt werden, stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO). Weitere Informationen: https://openai.com/policies/privacy-policy

Microsoft Advertising (UET). Zur Erfolgsmessung unserer Anzeigen in der Bing-Suche setzen wir das Universal Event Tracking (UET) von Microsoft ein. Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Daten können auch an die Microsoft Corporation, Redmond, USA übermittelt werden („Microsoft”). Ihr Browser lädt dabei ein Skript von bat.bing.net, das den Seitenaufruf einschließlich der Adresse der aufgerufenen Seite mit etwaigen Kampagnen-Parametern und — auf der Bestätigungsseite nach einem Kauf — den Bestellwert an Microsoft übermittelt. Namen und E-Mail-Adressen werden nicht übertragen.

Beim Laden übermitteln wir Microsoft zunächst das Signal ad_storage: denied (Microsoft Consent Mode); Microsoft setzt dann nach eigenen Angaben keine Cookies und zählt nichts. Erst wenn Sie im Hinweis am unteren Seitenrand „Alle akzeptieren“ wählen, senden wir ad_storage: granted. Microsoft legt daraufhin auf Ihrem Endgerät die Cookies _uetsid und _uetvid an (siehe Übersicht unten), ordnet damit Seitenaufrufe und Käufe einem vorangegangenen Klick auf eine unserer Anzeigen zu und kann Ihren Browser in Zielgruppen für unsere Anzeigen (Remarketing) aufnehmen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit über „Cookie-Einstellungen“ am Seitenende widerrufen; ab dann senden wir wieder denied, und Sie können die Cookies in Ihrem Browser löschen. Weitere Informationen: https://privacy.microsoft.com/de-de/privacystatement

Zuordnung von Anzeigenklicks zu Bestellungen. Klicken Sie auf eine unserer Anzeigen, hängt die Suchmaschine an die Ziel-Adresse eine Klick-Kennung an (bei Microsoft msclkid, bei Google gclid); ebenso werten wir Kampagnen-Parameter der Adresszeile aus (utm_*). Diese Angaben speichern wir für längstens 90 Tage lokal in Ihrem Browser; danach werden sie beim nächsten Seitenaufruf automatisch gelöscht. Sobald Sie einen Bestellvorgang starten (also Ihre E-Mail-Adresse abschicken), übermitteln wir sie an unseren Server, wo sie beim Bestelldatensatz hinterlegt werden — auch dann, wenn Sie den Vorgang anschließend nicht abschließen. Klick-Kennung und Kampagnen-Parameter löschen wir 180 Tage nach dem Bestellvorgang aus dem Bestelldatensatz, bei nicht abgeschlossenen Bestellungen nach 30 Tagen.

Die Klick-Kennung selbst enthält keinen Namen und keine Kontaktdaten, sondern verweist auf einen einzelnen Anzeigenklick. Kampagnen-Parameter (utm_*) können jedoch im Einzelfall Rückschlüsse zulassen: Wenn wir Ihnen einen individuell gekennzeichneten Link geschickt haben — etwa in einer persönlichen Anfrage-E-Mail —, lässt sich der Aufruf diesem Link und damit Ihnen zuordnen. Zweck ist ausschließlich die Zuordnung von Werbeausgaben zu tatsächlichen Bestellungen. Sie können diese Speicherung verhindern, indem Sie die lokale Datenspeicherung Ihres Browsers für diese Seite unterbinden oder deren Daten löschen.

Rechtsgrundlage für beide vorgenannten Verarbeitungen ist ebenfalls unser berechtigtes Interesse an der Messung und wirtschaftlichen Steuerung unserer Werbekampagnen (Art. 6 Abs. 1 lit. f DSGVO); Sie können auch hier jederzeit widersprechen (Art. 21 DSGVO). Soweit Daten in die USA übermittelt werden, stützt sich die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO).

Speicherung auf Ihrem Endgerät. Die folgende Übersicht zeigt, welche Einträge unsere Website sowie — nur nach Ihrer Zustimmung — die Skripte und Server von OpenAI und Microsoft in Ihrem Browser anlegen. Einträge im Sitzungsspeicher löscht Ihr Browser, wenn Sie den Tab oder das Fenster schließen. Sie können alle Einträge jederzeit über die Einstellungen Ihres Browsers löschen.

Für das Skript von Microsoft gelten die Angaben oben unter „Microsoft Advertising (UET)“. Sobald Sie die Bestellseite oder den Bestellbereich unserer Startseite erreichen, lädt Ihr Browser außerdem das Skript Stripe.js von Stripe (siehe Ziffer 5), auch bevor Sie etwas eingeben. Stripe untersucht damit nach eigenen Angaben Merkmale Ihres Geräts und Ihrer Nutzung, um Betrug zu erkennen, und setzt nach seiner Cookie-Richtlinie zur Betrugsprävention auch Cookies und ähnliche Technologien ein. Einzelheiten: https://stripe.com/de/legal/cookies-policy

12. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten,
• Berichtigung (Art. 16 DSGVO) unrichtiger oder unvollständiger Daten,
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht aus Gründen Ihrer besonderen Situation (Art. 21 Abs. 1 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 und 3 DSGVO): Verarbeiten wir Ihre Daten für Direktwerbung, etwa für die E-Mail-Serie zum Vorsorge-Check und die Auswertung, welche E-Mail der Serie zu einer Bestellung geführt hat (Ziffer 10), können Sie dem jederzeit ohne Angabe von Gründen widersprechen. Wir verarbeiten Ihre Daten dann nicht mehr für diese Zwecke. Es genügt ein Klick auf den Abmeldelink am Ende jeder E-Mail der Serie oder eine formlose Nachricht an hallo@dein-ordner.de.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an: hallo@dein-ordner.de

13. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI) Häßlerstraße 8 99096 Erfurt Website: https://www.tlfdi.de

14. Datensicherheit

Unsere Website und der Bestellprozess nutzen durchgehend TLS-Verschlüsselung (erkennbar an „https://” in der Adresszeile). Wir treffen darüber hinaus angemessene technische und organisatorische Maßnahmen, um Ihre Daten gegen Verlust, Missbrauch und unberechtigten Zugriff zu schützen.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Datenverarbeitung ändert (z.B. bei Einführung neuer Dienste). Es gilt jeweils die hier veröffentlichte aktuelle Fassung.