Datenschutz

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Datenschutzbeauftragter: Wir haben keinen Datenschutzbeauftragten benannt; die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) liegen bei uns nicht vor. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter den vorstehenden Kontaktdaten.

Diese Hinweise gelten für die folgenden Verarbeitungen:

• das persönliche, befristete Buchungsangebot unseres Vertriebs — vom Telefonat bis zur Buchungsbestätigung (Abschnitt 05)
• Rechnungsstellung und steuerrechtliche Aufbewahrung
• die Aufzeichnung und Transkription von Telefongesprächen, ausschließlich nach Ihrer Zustimmung im Gespräch (Abschnitt 11)
• Reichweiten-, Conversion- und Interaktionsmessung auf der Akademie-Seite, ausschließlich nach Ihrer Einwilligung (Abschnitte 12 bis 15)

Für allgemeine Verarbeitungen der Arti Decorative GmbH (z. B. auf der Hauptwebsite oder im Web-Shop) gilt zusätzlich die allgemeine Datenschutzerklärung.

Hinweis zum unternehmerischen Kontext: Unsere Seminare werden ausschließlich an Unternehmen sowie an gewerblich oder selbstständig beruflich tätige Personen verkauft. Das ändert nichts daran, dass die Angaben zu Ansprechpersonen, Beschäftigten und Einzelunternehmern personenbezogene Daten sind und die DSGVO für sie in vollem Umfang gilt.

Beim Aufruf unserer Seiten werden technisch erforderliche Zugriffsdaten verarbeitet, die Ihr Browser automatisch an unseren Hosting-Anbieter übermittelt:

• aufgerufene Seite
• Datum und Uhrzeit des Abrufs
• übertragene Datenmenge
• Referrer (Quelle des Aufrufs)
• Browser-Typ und -Version
• Betriebssystem
• IP-Adresse — nach Möglichkeit gekürzt bzw. pseudonymisiert

Zweck: technische Auslieferung, Stabilität und Sicherheit der Seite, Abwehr von Missbrauch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Betrieb) sowie Art. 32 DSGVO.

Wir verwenden technisch notwendige Cookies bzw. ähnliche Speichertechnologien, die für den Betrieb der Seite und die Abwicklung der Buchung erforderlich sind (z. B. zur sicheren Übertragung an den Zahlungsdienstleister sowie zum Speichern Ihrer Cookie-Einwilligung).

Cookies und vergleichbare Technologien für Analyse-, Marketing- oder Session-Replay-Zwecke setzen wir ausschließlich nach Ihrer Einwilligung ein. Beim ersten Aufruf der Akademie-Seite erhalten Sie dazu einen Consent-Banner mit drei Kategorien (Notwendig, Analyse, Marketing). Die Skripte der jeweiligen Anbieter werden erst geladen, wenn die passende Kategorie eingewilligt ist und die zugehörige Konfiguration hinterlegt wurde.

Sie können Ihre Einwilligung jederzeit widerrufen — über den Footer-Link „Cookie-Einstellungen“, der den Consent-Dialog erneut öffnet. Bereits geladene Drittanbieter werden nach einem Widerruf bei der nächsten Seitenaktualisierung nicht erneut geladen.

Rechtsgrundlage für nicht notwendige Cookies: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Der Buchungsweg selbst ist davon nicht betroffen. Er beruht auf Vertrag, gesetzlicher Pflicht und berechtigtem Interesse. Für ihn holen wir keine Einwilligung ein, und Sie müssen keine erteilen, um buchen zu können.

Die folgende Übersicht führt jeden Schritt des Buchungswegs einzeln auf — mit den verarbeiteten Datenkategorien, dem Zweck, der Rechtsgrundlage, den Empfängern, der Speicherdauer und einem etwaigen Drittlandbezug.

Wir setzen im Buchungsweg die folgenden Dienstleister ein. Ihre Rolle ist nicht pauschal dieselbe — sie richtet sich danach, wer über Zwecke und Mittel der jeweiligen Verarbeitung entscheidet.

• Zahlungsdienstleister. Bezahlvorgang, Zahlungsnachweis, Erstattung. Stripe Payments Europe, Limited, Block 4, Harcourt Centre, Harcourt Road, Dublin 2, Irland — teils Auftragsverarbeiter, teils eigener Verantwortlicher. Die eigene Verantwortlichkeit betrifft insbesondere die Erfüllung eigener gesetzlicher Pflichten, etwa zur Betrugs- und Geldwäscheprävention; dafür gelten die Datenschutzhinweise des Anbieters unter stripe.com/privacy.
• Hosting-Dienstleister. Hosting der Anwendung, Auslieferung der Seiten. Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA — Auftragsverarbeiter.
• E-Mail-Versanddienstleister. Versand der Angebots-, Erinnerungs- und Bestätigungsmails. Plus Five Five, Inc. („Resend“), 2261 Market Street #5039, San Francisco, CA 94114, USA — Auftragsverarbeiter.
• Dienstleister für den Betrieb der Datenbank. Betrieb der PostgreSQL-Datenbank (Neon). Databricks, Inc., San Francisco, CA, USA (für die Neon-Dienste; Neon, LLC als Tochtergesellschaft) — Auftragsverarbeiter. Dort liegen unsere Buchungs-, Angebots- und Nachweisdaten.
• Dienstleister für zeitgesteuerte technische Aufträge. Zeitgesteuerte technische Aufträge (QStash) für Erinnerungen und Fristablauf. Upstash, Inc. (Delaware-Gesellschaft), San Jose, CA, USA — Auftragsverarbeiter. Der Dienst erhält ausschließlich eine zufällige Vorgangskennung, die Bezeichnung der Aktion, einen Zeitpunkt und eine Versionsnummer.
• Telefoniedienstleister. Telefonie und Anrufprotokollierung im Vertrieb. Die Firmierung ist nicht abschließend belegt; wir nennen deshalb ausschließlich die Empfängerkategorie. Rolle nach den öffentlichen Unterlagen des Anbieters: teils Auftragsverarbeiter, teils eigener Verantwortlicher. Welche Gesellschaft unser Vertragspartner ist, ergibt sich aus dem abgeschlossenen Vertrag. Solange das nicht abschließend belegt ist, nennen wir hier weder eine Firmierung noch einen Transfermechanismus.
• Anbieter einer Sprachmodell-Auswertung. Auswertung von Gesprächstranskripten (OpenAI) — angebunden, NICHT aktiviert. Die Firmierung ist nicht abschließend belegt; wir nennen deshalb ausschließlich die Empfängerkategorie. Rolle nach den öffentlichen Unterlagen des Anbieters: die Rolle ergibt sich aus dem Vertrag und ist noch nicht abschließend belegt.
• Anbieter eines Sprachmodells für interne Produktauskünfte. Arti Wissen — Produktfragen der Vertriebsmitarbeiter an ein Sprachmodell (OpenAI): Frage, Gesprächsverlauf und Merkblattauszüge; keine Kundendaten aus Aurion — eingeschaltet seit 01.10.2026 (Schalter AURION_WISSEN), nur interne Nutzung. Die Firmierung ist nicht abschließend belegt; wir nennen deshalb ausschließlich die Empfängerkategorie. Rolle nach den öffentlichen Unterlagen des Anbieters: die Rolle ergibt sich aus dem Vertrag und ist noch nicht abschließend belegt.

Soweit Dienstleister in unserem Auftrag verarbeiten, bestehen mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Ihre jeweiligen Unterauftragsverarbeiter werden von ihnen öffentlich geführt.

Ein Teil der eingesetzten Dienstleister hat seinen Sitz in den Vereinigten Staaten oder setzt dort ansässige Unterauftragsverarbeiter ein. Damit ist eine Übermittlung personenbezogener Daten in ein Drittland verbunden — und zwar auch dort, wo die Daten selbst in einem Rechenzentrum im Europäischen Wirtschaftsraum liegen. Der Speicherort allein beantwortet die Frage nicht.

• Stripe Payments Europe: Verarbeitungsgebiet: Europäischer Wirtschaftsraum (Irland), gruppenintern auch Vereinigte Staaten. Eine Speicherung im Europäischen Wirtschaftsraum schließt eine Übermittlung in ein Drittland nicht aus — sie findet hier gleichwohl statt, weil die Unternehmensgruppe des Anbieters auch Gesellschaften in den Vereinigten Staaten umfasst und Daten dorthin übermittelt werden können. Die Übermittlung ist abgesichert durch die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie die Zertifizierung des Anbieters nach dem EU-U.S. Data Privacy Framework.
• Vercel Inc.: Verarbeitungsgebiet: Vereinigte Staaten (Region US East, Northern Virginia). Damit ist eine Übermittlung in ein Drittland verbunden, weil die Anwendung in einer Region der Vereinigten Staaten ausgeführt und von dort ausgeliefert wird. Die Übermittlung ist abgesichert durch die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie die Zertifizierung des Anbieters nach dem EU-U.S. Data Privacy Framework.
• Plus Five Five („Resend“): Verarbeitungsgebiet: Vereinigte Staaten. Damit ist eine Übermittlung in ein Drittland verbunden, weil der Anbieter seinen Sitz in den Vereinigten Staaten hat und die von ihm eingesetzten Unterauftragsverarbeiter sämtlich dort ansässig sind. Die Übermittlung ist abgesichert durch die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914).
• Databricks: Verarbeitungsgebiet: AWS-Region eu-central-1 (Frankfurt am Main, Deutschland). Eine Speicherung im Europäischen Wirtschaftsraum schließt eine Übermittlung in ein Drittland nicht aus — sie findet hier gleichwohl statt, weil unser Vertragspartner eine Gesellschaft mit Sitz in den Vereinigten Staaten ist und er einen dort ansässigen Unterauftragsverarbeiter einsetzt. Die Übermittlung ist abgesichert durch die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie die Zertifizierung des Anbieters nach dem EU-U.S. Data Privacy Framework.
• Upstash: Verarbeitungsgebiet: AWS-Region eu-central-1 (Europäische Union). Eine Speicherung im Europäischen Wirtschaftsraum schließt eine Übermittlung in ein Drittland nicht aus — sie findet hier gleichwohl statt, weil unser Vertragspartner eine Gesellschaft mit Sitz in den Vereinigten Staaten ist und der Auftragsverarbeitungsvertrag Übermittlungen aus dem Europäischen Wirtschaftsraum ausdrücklich als solche behandelt. Die Übermittlung ist abgesichert durch die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie die Zertifizierung des Anbieters nach dem EU-U.S. Data Privacy Framework.
• Telefoniedienstleister: Ob eine Übermittlung in ein Drittland stattfindet, hängt davon ab, welche Gesellschaft unser Vertragspartner ist. Das ist derzeit nicht abschließend geklärt; wir nennen dazu deshalb bewusst keine Garantie.
• Anbieter einer Sprachmodell-Auswertung: Ob eine Übermittlung in ein Drittland stattfindet, hängt davon ab, welche Gesellschaft unser Vertragspartner ist. Das ist derzeit nicht abschließend geklärt; wir nennen dazu deshalb bewusst keine Garantie.
• Anbieter eines Sprachmodells für interne Produktauskünfte: Ob eine Übermittlung in ein Drittland stattfindet, hängt davon ab, welche Gesellschaft unser Vertragspartner ist. Das ist derzeit nicht abschließend geklärt; wir nennen dazu deshalb bewusst keine Garantie.

Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass Behörden in Drittländern auf Grundlage dortigen Rechts Zugriff auf Daten nehmen. Auf Anfrage stellen wir Ihnen Informationen zu den jeweils vereinbarten Garantien zur Verfügung.

Wir geben an technische Dienstleister bewusst nur das weiter, was sie für ihre Aufgabe brauchen:

• Der Dienst für zeitgesteuerte Aufträge erhält keine Namen, keine Kontaktdaten, keine Beträge und keine Vertragstexte — nur eine zufällige Vorgangskennung, die Aktion, den Zielzeitpunkt und eine Versionsnummer.
• Der persönliche Zahlungslink enthält ausschließlich einen signierten Token — keine E-Mail-Adresse, keine Telefonnummer, keine Vorgangsnummer. Was in einer Adresszeile steht, landet sonst in Protokollen, Verweisen und im Browserverlauf.
• An den Zahlungsdienstleister übermitteln wir als Zusatzangaben nur technische Referenzen und den Betrag — keinen Namen, keine Lead-Kennung, keine Telefonnummer.
• Unsere Nachweisprotokolle enthalten Vorgangskennungen und Zeitpunkte, jedoch keine Namen, Kontaktdaten oder Vertragstexte.
• Kartendaten geben Sie ausschließlich beim Zahlungsdienstleister ein. Wir erhalten und speichern keine Kartennummern, Prüfziffern oder Ablaufdaten.

Nach einer erfolgreichen Buchung bitten wir Sie auf der Bestätigungsseite um Angaben zur Vorbereitung Ihres Termins. Dabei verarbeiten wir:

• Ihr Gewerk
• Betriebsname
• Ansprechperson (Vor- und Nachname)
• Telefonnummer
• optionale Notiz zu Teilnehmern oder besonderen Hinweisen
• Bestätigung, dass die Buchung als gewerblicher Fachbetrieb erfolgt

Serverseitig wird daraus eine interne E-Mail an unser Akademie-Team erzeugt; der Versand erfolgt über den in Abschnitt 06 genannten Versanddienstleister.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).

Senden Sie uns eine E-Mail an die im Impressum genannte Adresse, verarbeiten wir Ihre Absenderadresse, Ihren Namen sowie den Inhalt Ihrer Nachricht ausschließlich zur Beantwortung Ihrer Anfrage und zur Koordination der Akademie.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vertragsbezogene Anfragen) sowie Art. 6 Abs. 1 lit. f DSGVO (allgemeine Anfragen, berechtigtes Interesse an der Kommunikation).

Beratungsgespräche am Telefon zeichnen wir nur auf, wenn Sie im Gespräch ausdrücklich zustimmen. Zu Beginn fragen wir Sie: „Ist es für Sie in Ordnung, wenn ich dieses Gespräch zu Dokumentationszwecken aufzeichne und transkribieren lasse?“ Erst nach Ihrer Zustimmung starten wir die Aufnahme. Ohne Ihre Zustimmung führen wir das Gespräch wie gewohnt, nur ohne Aufzeichnung.

Aus der Aufnahme erstellt unser Telefoniedienstleister automatisch ein Transkript, das wir in unserem System dem jeweiligen Vorgang zuordnen. Eine weitergehende automatische Auswertung — etwa Zusammenfassungen, Stimmungs- oder Themenanalysen — findet nicht statt.

Verarbeitete Daten

• Ihre Entscheidung über die Aufzeichnung: dass gefragt wurde, wann, von wem, nach welcher Fassung der Frage und mit welchem Ergebnis — ohne Gesprächsinhalt
• Tonaufnahme des Gesprächs bei unserem Telefoniedienstleister
• Transkript des Gesprächs (Wortlaut mit Zuordnung der Äußerungen zu den Gesprächspartnern)

Zweck

Dokumentation des Beratungsgesprächs, damit Ihre Angaben und Wünsche vollständig und richtig vorliegen und wir sie in der weiteren Beratung berücksichtigen können.

Rechtsgrundlage

• Art. 6 Abs. 1 lit. a DSGVO — Ihre Einwilligung, die wir zu Beginn des Gesprächs mündlich einholen, bevor die Aufzeichnung beginnt. Sie ist freiwillig; ohne sie führen wir das Gespräch wie gewohnt, nur ohne Aufzeichnung. Eine unklare Antwort behandeln wir wie eine Ablehnung.
• Art. 6 Abs. 1 lit. f DSGVO — für den Nachweis Ihrer Entscheidung. Berechtigtes Interesse ist, belegen zu können, dass vor jeder Aufzeichnung gefragt und eine Ablehnung beachtet wurde (vgl. Art. 7 Abs. 1 DSGVO). Der Nachweis enthält keinen Gesprächsinhalt und keine Tonaufnahme; Ihr Interesse überwiegt deshalb nicht.

Empfänger

• zuständige Beschäftigte der Arti Decorative GmbH
• Telefoniedienstleister
• Databricks, Inc., San Francisco, CA, USA (für die Neon-Dienste; Neon, LLC als Tochtergesellschaft) — Dienstleister für den Betrieb der Datenbank, Auftragsverarbeiter
• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA — Hosting-Dienstleister, Auftragsverarbeiter

Speicherdauer

Das Transkript eines Gesprächs löschen wir in unserem System 60 Tage nach dem Gespräch. Die Frist läuft für jedes Gespräch einzeln ab seinem Beginn; ein späteres Gespräch verlängert sie für ein früheres nicht. Sie hängt nicht von einer Zahlung, einer Buchung oder einem Vertragsverlauf ab. Die Tonaufnahme und das dort erstellte Transkript speichert unser Telefoniedienstleister; die Speicherdauer dort richtet sich nach unserem Vertrag mit dem Anbieter. Für daraus abgeleitete Auswertungen ist die Aufbewahrungsdauer noch nicht festgelegt; sie ist vor einer produktiven Nutzung zu entscheiden, und bis dahin entstehen keine solchen Auswertungen. Eine steuerliche oder handelsrechtliche Aufbewahrungspflicht besteht für diese Daten nicht. Den Nachweis, dass wir vor einer Aufzeichnung gefragt haben, löschen wir 60 Tage nach dieser Frage. Das gilt für eine Zustimmung ebenso wie für eine Ablehnung. Der Nachweis enthält keinen Gesprächsinhalt und keine Tonaufnahme, sondern nur, dass gefragt wurde, wann, von wem, nach welcher Textfassung und mit welchem Ergebnis. Eine steuerliche oder handelsrechtliche Aufbewahrungspflicht besteht für diese Daten nicht.

Drittlandbezug

Eine Übermittlung in ein Drittland findet statt in Bezug auf: Databricks (Verarbeitungsgebiet: AWS-Region eu-central-1 (Frankfurt am Main, Deutschland)); Vercel Inc. (Verarbeitungsgebiet: Vereinigte Staaten (Region US East, Northern Virginia)). Dass ein Verarbeitungsgebiet im Europäischen Wirtschaftsraum liegt, schließt die Übermittlung nicht aus. Für Telefoniedienstleister ist nicht abschließend geklärt, ob eine Übermittlung in ein Drittland stattfindet. Die vereinbarten Garantien nennt der Abschnitt „Übermittlungen in Drittländer“.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — formlos, etwa per E-Mail an die im Impressum genannte Adresse. Wir löschen dann die Aufnahme und das Transkript des Gesprächs. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Sofern aktiviert, setzen wir den Meta Pixel ein, um die Wirksamkeit unserer Meta-/Facebook-Anzeigen zu messen (Conversion-Tracking) und Zielgruppen für künftige Anzeigen zu optimieren. Anbieter ist die Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland.

Zusätzlich kann eine serverseitige Übermittlung über die Meta Conversions API erfolgen (z. B. nach einer erfolgreichen Buchung), damit Conversions auch dann zugeordnet werden können, wenn der Browser den Pixel nicht vollständig laden kann.

Beim Einsatz des Pixels und vergleichbarer Identifier werden Daten verarbeitet, die ggf. an Meta Platforms, Inc. in den USA übertragen werden. Meta nimmt am EU-US Data Privacy Framework teil, soweit anwendbar.

Kategorie: Marketing.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung). Der Pixel und die Conversions API werden erst geladen, nachdem Sie im Consent-Banner die Kategorie Marketing aktiviert haben und eine Pixel-ID in der Konfiguration hinterlegt ist. Ihre Einwilligung können Sie jederzeit über den Footer-Link „Cookie-Einstellungen“ widerrufen.

Sofern in der Konfiguration aktiviert, setzen wir Microsoft Clarity ein, um Interaktionen mit der Seite (z. B. Klicks, Scrollverhalten, Heatmaps und pseudonymisierte Session-Aufzeichnungen) zu analysieren und die Nutzungsfreundlichkeit zu verbessern. Anbieter ist die Microsoft Ireland Operations Limited bzw. die Microsoft Corporation (Microsoft-Gruppe).

Sensible Eingaben (z. B. in Formularfeldern) werden von Clarity standardmäßig maskiert.

Kategorie: Analyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung). Clarity wird erst geladen, wenn Sie die Kategorie Analyse aktivieren und eine Project-ID hinterlegt ist. Widerruf jederzeit über „Cookie-Einstellungen“.

Sofern in der Konfiguration aktiviert, setzen wir Google Analytics 4 (GA4) ein, um aggregierte Reichweiten-, Verhaltens- und Conversion-Daten zur Akademie-Seite auszuwerten. Anbieter ist die Google Ireland Limited (Google-Gruppe). GA4 wird mit aktivierter IP-Anonymisierung (anonymize_ip) eingebunden.

Kategorie: Analyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung). GA4 wird erst geladen, wenn Sie die Kategorie Analyse aktivieren und eine Measurement-ID (G-…) hinterlegt ist. Widerruf jederzeit über „Cookie-Einstellungen“.

Sofern in der Konfiguration aktiviert, setzen wir PostHog ein, um aggregierte Nutzungs- und Conversion-Daten zu analysieren (Produktanalytics). Sofern in der Konfiguration auf den europäischen Host (eu.i.posthog.com) verwiesen wird, erfolgt die Verarbeitung innerhalb der EU; bei Verwendung des US-Hosts ist eine Übermittlung in die USA möglich.

Kategorie: Analyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG (Einwilligung). PostHog wird erst geladen, wenn Sie die Kategorie Analyse aktivieren und ein Project-Key hinterlegt ist. Widerruf jederzeit über „Cookie-Einstellungen“.

Die Fristen und Kriterien für den Buchungsweg stehen bei jedem Vorgang in Abschnitt 05. Ergänzend gilt:

Es gibt keine gemeinsame Frist für „alle Vertragsdaten“. Was wie lange aufbewahrt wird, hängt davon ab, WOFÜR: eine steuerliche Pflicht, eine handelsrechtliche Pflicht, die Abwehr von Ansprüchen oder der Zweck selbst. Die vier Gründe sind verschieden — auch in dem, was Sie dagegen unternehmen können.

• Rechnungen (Doppel der von uns ausgestellten Rechnungen): Acht Jahre nach § 14b Absatz 1 Satz 1 UStG. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die Rechnung ausgestellt worden ist. (gesetzliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO)
• Buchungsbelege (Zahlungsnachweise, Kontoauszüge, Rechnungsbelege): Acht Jahre nach § 147 Absatz 1 Nummer 4 in Verbindung mit Absatz 3 Satz 1 AO und § 257 Absatz 1 Nummer 4 in Verbindung mit Absatz 4 HGB. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstanden ist. (gesetzliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO)
• Bücher, Aufzeichnungen, Inventare, Jahresabschlüsse und Eröffnungsbilanz: Zehn Jahre nach § 147 Absatz 1 Nummer 1 in Verbindung mit Absatz 3 Satz 1 AO und § 257 Absatz 1 Nummer 1 in Verbindung mit Absatz 4 HGB. Diese Frist betrifft die Buchführung als solche, nicht die einzelne Buchung eines Kunden. (gesetzliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO)
• Geschäftliche Korrespondenz zu einer Buchung (Angebots-, Erinnerungs- und Bestätigungsschreiben): Sechs Jahre nach § 147 Absatz 1 Nummer 2 und 3 in Verbindung mit Absatz 3 Satz 1 AO und § 257 Absatz 1 Nummer 2 und 3 in Verbindung mit Absatz 4 HGB. (gesetzliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO)
• Vertragsnachweis (Fassungskennung, Prüfsumme, Wortlaut und Zeitpunkt der Erklärungen): Bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren (§§ 195, 199 Absatz 1 BGB). Dies ist keine Aufbewahrungspflicht, sondern unser berechtigtes Interesse, Ansprüche abwehren und nachweisen zu können; Sie können ihr nach Artikel 21 DSGVO widersprechen. Ist ein Anspruch streitig oder gerichtlich anhängig, bewahren wir den Nachweis bis zum rechtskräftigen Abschluss auf. (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO — Widerspruch nach Art. 21 DSGVO möglich)
• Zahlungsnachweis (Kennung der Zahlungsabsicht, Betrag, Währung, Zeitpunkt des Erfolgs): Bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren (§§ 195, 199 Absatz 1 BGB). Soweit derselbe Nachweis zugleich Buchungsbeleg ist, gilt für dieses Exemplar die längere steuerliche Frist von acht Jahren. (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO — Widerspruch nach Art. 21 DSGVO möglich)
• Kontakt- und Anbahnungsdaten ohne Vertragsschluss: Bis zum Wegfall des Zwecks. Kommt keine Buchung zustande, löschen wir die Kontaktdaten, sobald feststeht, dass kein weiterer Kontakt gewünscht ist — spätestens jedoch nach Ablauf der Verjährungsfrist für Ansprüche aus der Anbahnung. Eine steuerliche oder handelsrechtliche Aufbewahrungspflicht besteht für diese Daten nicht. (Wegfall des Zwecks — keine Aufbewahrungspflicht)
• Teilnehmer- und Durchführungsdaten (Namen der teilnehmenden Personen, Vorbereitung): Bis zur Durchführung des Seminars und für einen angemessenen Nachlauf zur Klärung von Rückfragen. Diese Angaben sind weder Buchungsbeleg noch Handelsbrief; sie unterliegen keiner Aufbewahrungspflicht und werden anschließend gelöscht oder von der Buchung getrennt. (Wegfall des Zwecks — keine Aufbewahrungspflicht)
• Gesprächsaufzeichnungen, Transkripte und daraus abgeleitete Auswertungen: Das Transkript eines Gesprächs löschen wir in unserem System 60 Tage nach dem Gespräch. Die Frist läuft für jedes Gespräch einzeln ab seinem Beginn; ein späteres Gespräch verlängert sie für ein früheres nicht. Sie hängt nicht von einer Zahlung, einer Buchung oder einem Vertragsverlauf ab. Die Tonaufnahme und das dort erstellte Transkript speichert unser Telefoniedienstleister; die Speicherdauer dort richtet sich nach unserem Vertrag mit dem Anbieter. Für daraus abgeleitete Auswertungen ist die Aufbewahrungsdauer noch nicht festgelegt; sie ist vor einer produktiven Nutzung zu entscheiden, und bis dahin entstehen keine solchen Auswertungen. Eine steuerliche oder handelsrechtliche Aufbewahrungspflicht besteht für diese Daten nicht. (Wegfall des Zwecks — keine Aufbewahrungspflicht)
• Nachweis der Einwilligung in die Gesprächsaufzeichnung: Den Nachweis, dass wir vor einer Aufzeichnung gefragt haben, löschen wir 60 Tage nach dieser Frage. Das gilt für eine Zustimmung ebenso wie für eine Ablehnung. Der Nachweis enthält keinen Gesprächsinhalt und keine Tonaufnahme, sondern nur, dass gefragt wurde, wann, von wem, nach welcher Textfassung und mit welchem Ergebnis. Eine steuerliche oder handelsrechtliche Aufbewahrungspflicht besteht für diese Daten nicht. (Wegfall des Zwecks — keine Aufbewahrungspflicht)
• Technische Steuerdaten der Gesprächslöschung: Für die technischen Steuerdaten der Löschung (Warteschlange und gesetzte Grenze) ist die Aufbewahrungsdauer noch nicht festgelegt. ⚠️ Die gesetzte Grenze MUSS den Wortlaut überdauern — eine Grenze, die mit dem Gelöschten verschwindet, hält ein verspätet eintreffendes Ereignis nicht mehr auf. Bis zu einer Entscheidung wird nicht gelöscht und keine Löschung behauptet. Diese Daten enthalten keinen Gesprächsinhalt. (Wegfall des Zwecks — keine Aufbewahrungspflicht)
• Technische Betriebs- und Sicherheitsprotokolle: Für eine kurze Sicherheitsvorhaltung. Nachweisprotokolle zu einem Vorgang werden mit diesem Vorgang aufbewahrt; sie enthalten bewusst keine Namen, Kontaktdaten oder Vertragstexte. (Wegfall des Zwecks — keine Aufbewahrungspflicht)
• Server-Logfiles: nur für die Dauer, die für Stabilität und Sicherheit erforderlich ist; in der Regel kurze Speicherdauer. (operativer Zweck)
• Analyse- und Marketingdaten: nach den Einstellungen des jeweiligen Anbieters und nicht länger als die erteilte Einwilligung. (Einwilligung)
• Kontaktanfragen: bis zur abschließenden Bearbeitung, vorbehaltlich gesetzlicher Aufbewahrungspflichten. (operativer Zweck)

Die steuerlichen Aufbewahrungsfristen laufen nicht ab, solange die Unterlagen für Steuern von Bedeutung sind, für die die Festsetzungsfrist noch nicht abgelaufen ist (§ 147 Absatz 3 Satz 5 AO). Im Einzelfall kann die tatsächliche Aufbewahrung dadurch länger dauern als die genannte Regelfrist.

Wie gelöscht wird: Die Umsetzung folgt einem dokumentierten Löschkonzept. Es benennt je Datenkategorie die Frist oder das Kriterium, die verantwortliche Rolle, eine feste Prüffrequenz und die Ausnahmen, in denen nicht gelöscht werden darf — etwa wegen einer laufenden Aufbewahrungspflicht, eines Rechtsstreits oder eines Sicherheitsvorfalls. Für Kontaktdaten heißt das konkret: Eine monatliche systemgestützte Prüfung stellt fest, welche Fristen abgelaufen sind; die Löschung beziehungsweise Anonymisierung erfolgt anschließend durch eine ausdrückliche Entscheidung der dafür benannten Rolle. Gesetzliche Aufbewahrungspflichten und angeordnete Sperren gehen dabei stets vor. Löschbare Kontaktdaten und aufzubewahrende Rechnungs- und Vertragsdaten werden getrennt behandelt: Der Wegfall des Kontaktzwecks berührt die steuerliche Aufbewahrung nicht, und umgekehrt hält eine steuerliche Frist keine Kontaktdaten fest, die sie nicht braucht.

Die meisten Angaben erhalten wir unmittelbar von Ihnen — im Gespräch, im Bezahlvorgang oder in einer Nachricht an uns. Für diesen Fall gilt Art. 13 DSGVO.

In zwei Fällen stammen Daten nicht von Ihnen selbst; dafür informieren wir nach Art. 14 DSGVO:

• Angaben Ihres Arbeitgebers oder Auftraggebers. Bucht ein Unternehmen ein Seminar, nennt es uns die teilnehmenden Personen sowie eine Ansprechperson. Verarbeitet werden dann Name, berufliche Kontaktdaten und die Zuordnung zum gebuchten Termin. Quelle ist das buchende Unternehmen.
• Angaben aus einer Anzeigenplattform. Füllen Sie ein Kontaktformular innerhalb eines sozialen Netzwerks aus, übermittelt uns dessen Betreiber die dort eingegebenen Angaben — in der Regel Name, Telefonnummer, E-Mail-Adresse und Ihre Antworten auf die Formularfragen. Quelle ist die jeweilige Plattform; öffentlich zugängliche Quellen werten wir dafür nicht aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind, sonst Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Anbahnung und Durchführung der Geschäftsbeziehung zu dem Unternehmen, für das Sie handeln.

Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung Ihrer Daten besteht nicht, und Sie sind zur Bereitstellung auch nicht verpflichtet. Die Folgen der Nichtbereitstellung sind allerdings unterschiedlich — ohne bestimmte Angaben können wir einzelne Leistungen nicht erbringen:

• Ohne Firmierung und vollständige Rechnungsanschrift können wir keine Rechnung im Sinne von § 14 UStG ausstellen. Ein Buchungsangebot kann dann nicht angenommen werden — der Vertrag kommt nicht zustande.
• Ohne E-Mail-Adresse können wir Ihnen weder das Buchungsangebot noch den Zahlungslink noch die Buchungsbestätigung zusenden.
• Ohne die Namen der teilnehmenden Personen können wir die Teilnahme am Seminartag nicht vorbereiten und keine Teilnahmebestätigung ausstellen.
• Ohne die beiden Erklärungen vor der Zahlung — zur unternehmerischen Buchung und zu den Geschäftsbedingungen — startet der Bezahlvorgang nicht.

Alle übrigen Angaben sind freiwillig. Ihr Fehlen hat keine Nachteile: Ohne Umsatzsteuer-Identifikationsnummer, Telefonnummer oder Angaben zur Vorbereitung findet das Seminar genauso statt.

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Keine der beschriebenen Verarbeitungen entfaltet Ihnen gegenüber rechtliche Wirkung oder beeinträchtigt Sie in ähnlicher Weise erheblich, ohne dass ein Mensch entschieden hätte.

Das gilt ausdrücklich auch für die Prüfung abweichender Zahlungen: Der automatische Abgleich stellt lediglich fest, ob Betrag, Währung, Zuordnung und Zeitpunkt übereinstimmen. Weichen sie ab, entscheidet ein Mensch — die Entscheidung wird mit Zeitpunkt, Person und Begründung festgehalten.

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der für unseren Sitz zuständigen Aufsichtsbehörde

Zum Widerspruchsrecht: Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Die betroffenen Verarbeitungen sind in Abschnitt 05 als solche gekennzeichnet.

Verarbeitungen, die zur Erfüllung des Vertrages oder einer gesetzlichen Pflicht erforderlich sind, können wir dagegen nicht einstellen, solange der Vertrag besteht oder die Pflicht gilt.

Für Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

service@artidecorative.de