Daten­schutz­erklärung

1. Verantwortlicher

VB Elektrotechnik GmbH
Auf der Schanze 41
61352 Bad Homburg
Telefon: 06172 9453608
E-Mail: info@vb-elektro.de

2. Aufruf der Website und Server-Protokolle

Wenn Sie die Website aufrufen, überträgt Ihr Browser Daten an den Server, ohne die die Seite nicht ausgeliefert werden kann: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite, falls Ihr Browser sie mitteilt, sowie Angaben zu Browser und Betriebssystem. Der Server schreibt diese Daten in ein Protokoll, die IP-Adresse aber nur gekürzt: Bei IPv4-Adressen setzt er die letzte Zahlengruppe auf 0, bei IPv6-Adressen behält er höchstens die ersten drei Blöcke. Die vollständige IP-Adresse steht nicht im Zugriffsprotokoll.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, die Website auszuliefern, Störungen zu finden und Angriffe abzuwehren; Erwägungsgrund 49 DSGVO nennt die Netz- und Informationssicherheit ausdrücklich. Mit anderen Daten führen wir die Protokolle nicht zusammen.

Daneben führt der Webserver eine Fehlerdatei für schwere Störungen. Dort lässt sich die IP-Adresse nicht kürzen: Die Software schreibt ihre Meldungen in einem festen Format und kann dabei die vollständige IP-Adresse nennen. Wir haben die Datei deshalb auf schwere Störungen beschränkt, im Regelbetrieb entstehen dort keine Einträge.

Zugriffsprotokoll und Fehlerdatei löscht der Server automatisch, spätestens sieben Tage nach dem Zugriff. Finden wir in dieser Zeit Anzeichen für einen Angriff oder eine Störung, heben wir die betroffenen Einträge auf, bis der Vorfall aufgeklärt ist.

Den technischen Betrieb der Website hat die DRB IT Solution, Inhaber Deniz Robin Bektas, Bahnhofstraße 22f, 61250 Usingen, für uns übernommen. Sie mietet die Server dafür bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, und verwaltet sie selbst. Die Server stehen in Deutschland. Beide verarbeiten die Daten in unserem Auftrag und nach unseren Weisungen; Hetzner ist dabei Unterauftragnehmer der DRB IT Solution.

3. Auslieferung über Cloudflare

Der Abruf dieser Website läuft über das Netz der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare sitzt technisch vor dem Server: Der Dienst nimmt die verschlüsselte Verbindung Ihres Browsers an, liefert die Seite aus einem Rechenzentrum in Ihrer Nähe aus und fängt Überlastungsangriffe ab, bevor sie den Server erreichen. Dabei verarbeitet Cloudflare Ihre vollständige IP-Adresse, den Zeitpunkt des Zugriffs, die aufgerufene Adresse sowie Angaben zu Browser und Gerät.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, dass die Website schnell und zuverlässig erreichbar bleibt und Angriffe abgewehrt werden. Cloudflare arbeitet dabei als Auftragsverarbeiter nach Art. 28 DSGVO, und zwar wie Hetzner als Unterauftragnehmer der DRB IT Solution (Abschnitt 2).

Cloudflare hat seinen Sitz in den USA und betreibt dort Server. Ihre Daten können deshalb in die Vereinigten Staaten gelangen. Wir stützen diese Übermittlung allein auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchstabe c DSGVO); sie sind Bestandteil des Vertrags zur Auftragsverarbeitung, den die DRB IT Solution mit Cloudflare geschlossen hat. Eine andere Grundlage ziehen wir dafür nicht heran. Dass US-amerikanische Behörden auf Daten zugreifen, lässt sich trotz dieser Garantien nicht ausschließen.

Beim Ausliefern der Website setzt Cloudflare keine Cookies. Was die Prüfung im Anfrageformular im Browser ablegt, steht in Abschnitt 5. Käme später ein Bot-Schutz auf dem Auslieferungsweg dazu, setzte Cloudflare dafür das technisch erforderliche Cookie „__cf_bm“. Eine Einwilligung wäre dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig, dieser Abschnitt würde vorher angepasst.

Mit jeder Antwort sendet Cloudflare außerdem die Kopfzeilen NEL und Report-To. Ihr Browser meldet damit fehlgeschlagene Verbindungsversuche an einen Server von Cloudflare, nicht die Seiten, die Sie erfolgreich aufgerufen haben. Eine solche Meldung enthält die aufgerufene Adresse, die Fehlerursache und Ihre IP-Adresse.

Wie lange Cloudflare diese Daten aufbewahrt, bestimmt Cloudflare selbst; eine Frist können wir dafür nicht zusagen. Einzelheiten stehen in der Datenschutzerklärung von Cloudflare.

4. Keine Cookies, keine Auswertung, wenige fremde Dienste

Beim Aufruf setzt die Website keine Cookies und legt auch sonst nichts auf Ihrem Gerät ab. Es gibt keine Reichweitenmessung und keine Werbe- oder Analysedienste. Fremde Inhalte lädt die Seite beim Aufruf nur an einer Stelle: Auf der Seite Karriere kommen die offenen Stellen als Widget von meinestelle.de, einem Dienst der Sellwerk GmbH & Co. KG (Abschnitt 10). Auch das Widget setzt keine Cookies. Eine Einwilligungsabfrage beim Öffnen der Seite ist deshalb nicht nötig. Zwei weitere Dienste laden erst, wenn Sie etwas tun: die Karte von Google Maps, wenn Sie im Kartenfeld auf „Karte laden“ klicken (Abschnitt 9), und die Sicherheitsprüfung von Cloudflare, wenn Sie im Anfrageformular den Haken dafür setzen; sie kann dabei Informationen im Speicher Ihres Browsers ablegen und auslesen (Abschnitt 5). Zum Auslieferungsweg über Cloudflare siehe Abschnitt 3.

Die Schriften kommen von derselben Adresse wie die Website, nicht von einem fremden Schriftdienst.

An einigen Stellen verlinken wir auf andere Websites: auf die Routenplanung von Google Maps, auf unsere Profile bei Facebook und Instagram, auf die Stellenanzeigen bei meinestelle.de, auf WhatsApp und dessen Bedingungen, auf die Datenschutzerklärungen von Cloudflare, Google, Meta und Sellwerk, auf die rechtlichen Rahmenbedingungen von Google für Datenübermittlungen, auf die Vereinbarung von Meta zu den Seiten-Insights, auf Seiten der Handwerkskammer und des Gesetzgebers und im Impressum auf die Herkunft und die Lizenzen von Schriften, Zeichen und Postleitzahlen. Daten fließen dorthin erst, wenn Sie einen solchen Link anklicken. Ab dann gilt die Datenschutzerklärung des jeweiligen Anbieters. Was gilt, wenn Sie unsere Seite bei Facebook oder unser Profil bei Instagram besuchen, steht in Abschnitt 8, was für Nachrichten über WhatsApp gilt, in Abschnitt 6.

5. Anfrage über das Formular

Das Anfrageformular auf der Startseite und auf der Seite Kontakt fragt nach der gewünschten Leistung, nach der Postleitzahl und der Art des Objekts, nach Ihrem Namen, Ihrer Telefonnummer und Ihrer E-Mail-Adresse und nach einer Nachricht zu Ihrem Anliegen. Alle diese Angaben sind Pflicht. Leistung, Objekt und Nachricht brauchen wir, um Ihr Anliegen einzuordnen, den Namen, um Sie anzusprechen, die Telefonnummer für Rückfragen und den Rückruf, die E-Mail-Adresse für die Eingangsbestätigung und für schriftliche Antworten. Fehlt eine Angabe, nimmt das Formular die Anfrage nicht an; Sie erreichen uns dann per Telefon oder E-Mail (Abschnitt 6).

Die Postleitzahl brauchen wir, um zu prüfen, ob das Objekt in unserem Einsatzgebiet liegt. Dafür lädt Ihr Browser beim Ausfüllen eine Liste der Postleitzahlen dieses Gebiets mit ihren Orten von unserem Server; an andere Anbieter geht dabei nichts. Aus dieser Liste ergänzt das Formular den Ort. Liegt die Postleitzahl außerhalb, nimmt das Formular die Anfrage nicht an und nennt Ihnen unsere Telefonnummer. Der Server prüft dieselbe Liste beim Absenden noch einmal und verwirft eine solche Anfrage, ohne sie zu speichern oder weiterzuleiten. Sein Protokoll hält dann nur fest, dass eine Anfrage wegen des Gebiets abgelehnt wurde, nicht die Postleitzahl.

Beim Absenden gehen Ihre Angaben verschlüsselt über das Netz von Cloudflare (Abschnitt 3) an den Server, auf dem die Website läuft (Abschnitt 2). Das gilt auch, wenn in Ihrem Browser kein JavaScript läuft; verschickt wird eine solche Anfrage aber nicht, dazu unten mehr. Ein Programm auf diesem Server prüft die Angaben und schickt sie als E-Mail an das Postfach unseres Betriebs, zusammen mit Datum und Uhrzeit des Eingangs und der Adresse der Seite, auf der Sie das Formular abgeschickt haben. Auf dem Server speichert das Programm Ihre Angaben nicht. Sein eigenes Protokoll hält nur fest, was mit einer Anfrage geschehen ist, etwa dass sie verschickt oder abgelehnt wurde, ohne Ihre Angaben und ohne Ihre IP-Adresse. Im Server-Protokoll aus Abschnitt 2 steht das Absenden wie jeder andere Aufruf, also mit gekürzter IP-Adresse, aber ohne das, was Sie eingetragen haben.

An die E-Mail-Adresse aus dem Formular schicken wir eine automatische Eingangsbestätigung. Sie nennt die gewählte Leistung, Postleitzahl und Ort, die Art des Objekts und Ihren Namen. Von Ihrer Telefonnummer nennt sie höchstens die letzten drei Ziffern. Ihre E-Mail-Adresse und den Text Ihrer Nachricht wiederholt sie nicht. Sieht der Name ungewöhnlich aus, etwa weil er eine Webadresse oder einen ganzen Satz enthält, steht dort statt des Namens „wie im Formular angegeben“. Außerdem steht darin, wann und wie Sie uns telefonisch erreichen. Werbung enthält sie nicht.

Beide E-Mails verschickt für uns die DRB IT Solution (Abschnitt 2) über ihr E-Mail-Konto bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Der Mailserver steht in Deutschland. Als Absender steht deshalb eine Adresse der DRB IT Solution darin (noreply@drb-it.de). Wie beim Betrieb der Website arbeitet die DRB IT Solution dabei als unser Auftragsverarbeiter und Hetzner als ihr Unterauftragnehmer (Abschnitt 2). Ein weiterer Versanddienst ist nicht beteiligt. Die Anfrage kommt danach in unserem Postfach an, die Bestätigung in Ihrem. Unser Postfach liegt bei Microsoft 365; was dafür gilt, steht in Abschnitt 6.

Kommt eine der beiden E-Mails nicht an, kann im Postfach dieses Kontos eine Unzustellbarkeitsmeldung eingehen. Bei der Anfrage an uns enthält sie, soweit der empfangende Mailserver das unterstützt, nur die Kopfzeilen, also den Betreff mit Leistung, Postleitzahl und Ort und Ihre E-Mail-Adresse als Antwortadresse. Bei der Eingangsbestätigung kann sie auch mehr enthalten. Die DRB IT Solution nutzt solche Meldungen nur, um Störungen beim Versand zu beheben und uns über eine nicht zugestellte Anfrage zu unterrichten, und löscht sie danach unverzüglich.

Wir verwenden Ihre Angaben, um Ihre Anfrage zu bearbeiten und Sie zurückzurufen oder Ihnen zu schreiben. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO, wenn Ihre Anfrage auf ein Angebot oder einen Auftrag zielt, sonst Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist dann, Ihr Anliegen zu beantworten. Für die Eingangsbestätigung ist Rechtsgrundlage Art. 6 Abs. 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist, Ihnen den Eingang zu bestätigen und zu sagen, wie Sie uns erreichen, wenn es eilt. Für Aufbewahrung und Löschung der Anfrage in unserem Postfach gilt, was in Abschnitt 6 steht.

Ein verstecktes Feld und eine kurze Wartezeit im Browser halten automatische Einsendungen ab. Damit das Formular nicht massenhaft missbraucht werden kann, begrenzt der Server außerdem, wie oft es von derselben IP-Adresse abgeschickt werden kann. Dafür merkt sich der Webserver Ihre IP-Adresse und den Zeitpunkt Ihrer Anfrage im Arbeitsspeicher, nicht auf einem Datenträger. Ruht der Eintrag mindestens eine Minute, kann der Webserver ihn löschen, sobald Anfragen von neuen IP-Adressen eingehen oder der Speicher voll ist. Spätestens verschwindet er, wenn der Webserver neu startet, also bei jeder Aktualisierung der Website.

Das Programm, das die E-Mails verschickt, zählt zusätzlich, wie viele Anfragen von einer IP-Adresse kommen und wie viele Eingangsbestätigungen an eine E-Mail-Adresse gehen. Bei IPv6-Adressen zählt es für das Netz, zu dem die Adresse gehört (die ersten 64 und die ersten 48 Bit). Die Adressen selbst legt es dafür nicht ab, sondern nur Prüfsummen daraus mit den Zeitpunkten der Anfragen. Die Prüfsummen bildet es mit einem geheimen Schlüssel (HMAC-SHA256), der bei jedem Start des Programms zufällig neu entsteht und nur im Arbeitsspeicher liegt; nach einem Neustart lässt sich keine Prüfsumme mehr einer Adresse zuordnen. Auch die Zählung liegt nur im Arbeitsspeicher. Jeder Zeitpunkt fällt nach höchstens 58 Minuten aus der Zählung und wird spätestens eine Minute danach gelöscht; mit dem letzten Zeitpunkt verschwindet auch die Prüfsumme. Daneben zählt das Programm ohne Bezug zu einer Person, wie viele Anfragen insgesamt in der letzten Stunde und wie viele Bestätigungen insgesamt in der letzten Stunde und in den letzten 24 Stunden verschickt wurden.

Rechtsgrundlage für diese Begrenzung ist Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, Missbrauch des Formulars zu verhindern, etwa massenhafte Einsendungen oder Bestätigungen an fremde Adressen.

Zusätzlich schützen wir das Formular mit Cloudflare Turnstile, einem Dienst der Cloudflare, Inc. (Abschnitt 3). Im letzten Schritt des Formulars steht dazu ein Kästchen, das nicht vorangekreuzt ist. Erst wenn Sie dort den Haken setzen, lädt Ihr Browser ein Programm von Cloudflare (challenges.cloudflare.com). Es prüft, ob ein Mensch das Formular abschickt, und bittet Sie nur in Zweifelsfällen, ein weiteres Kästchen anzuklicken. Dafür liest es Merkmale Ihres Browsers und Ihrer Verbindung aus und schickt sie an Cloudflare. Nach eigenen Angaben verarbeitet Cloudflare dabei Ihre IP-Adresse, Merkmale der verschlüsselten Verbindung, die Kennung Ihres Browsers sowie den Schlüssel unseres Formulars und die Adresse unserer Seite. Das Programm kann außerdem Informationen im Speicher Ihres Browsers ablegen und wieder auslesen. Bei unserer Prüfung war das ein Eintrag, der zur Adresse challenges.cloudflare.com gehört und kein Ablaufdatum hat; Cookies haben wir dabei nicht festgestellt. Den Eintrag können Sie über die Einstellungen Ihres Browsers löschen.

Das Ergebnis der Prüfung ist ein Code, der nur einmal gilt. Ihr Browser schickt ihn mit der Anfrage an unseren Server. Das Programm dort lässt ihn bei Cloudflare bestätigen und nennt dabei Ihre IP-Adresse; erst danach verschickt es die E-Mails. Damit derselbe Code nicht zweimal durchgeht, merkt es sich benutzte Codes fünf Minuten lang, nur als Prüfsumme und nur im Arbeitsspeicher. Kommt eine Anfrage ohne gültigen Code an, etwa weil in Ihrem Browser kein JavaScript läuft, verwirft das Programm sie, ohne sie zu speichern oder weiterzuleiten; fehlt der Code ganz, fragt es dafür auch nicht bei Cloudflare nach. Sie sehen dann unsere Telefonnummer und E-Mail-Adresse. Dass unser Server solche Anfragen verwirft, stützen wir auf Art. 6 Abs. 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist, das Formular und unser Postfach vor automatisierten Anfragen zu schützen.

Rechtsgrundlage für die Prüfung ist Ihre Einwilligung: für das Ablegen und Auslesen von Informationen in Ihrem Browser nach § 25 Abs. 1 TDDDG, für die Verarbeitung Ihrer Daten und ihre Übermittlung an Cloudflare nach Art. 6 Abs. 1 Buchstabe a DSGVO. Sie erteilen sie, indem Sie den Haken setzen. Die Einwilligung ist freiwillig. Ohne sie nimmt das Formular allerdings keine Anfrage an; Sie erreichen uns dann genauso per Telefon oder E-Mail (Abschnitt 1). Sie gilt nur für die Seite, die Sie gerade ansehen. Wir speichern sie nicht, und ob der Haken gesetzt war, wird nicht mit der Anfrage übertragen. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Entfernen Sie den Haken, nimmt das Formular die Prüfung wieder weg, und eine neue beginnt erst, wenn Sie ihn wieder setzen. Dasselbe erreichen Sie, indem Sie die Seite neu laden oder verlassen. Nach einer abgeschickten Anfrage ist der Haken wieder leer. Den Eintrag im Speicher Ihres Browsers löschen Sie über die Einstellungen Ihres Browsers. Was bis zum Widerruf verarbeitet wurde, bleibt davon unberührt.

Cloudflare verarbeitet die Daten aus der Prüfung in zwei Rollen. Soweit Cloudflare damit für uns prüft, ob ein Mensch das Formular abschickt, arbeitet Cloudflare als Auftragsverarbeiter nach Art. 28 DSGVO, wie beim Auslieferungsweg als Unterauftragnehmer der DRB IT Solution; für die Übermittlung in die USA gilt insoweit, was in Abschnitt 3 steht. Nach eigenen Angaben nutzt Cloudflare die Daten außerdem, um die Erkennung automatisierter Zugriffe zu verbessern. Dafür ist Cloudflare selbst verantwortlich und stützt sich nach eigener Angabe auf sein berechtigtes Interesse. Für diesen Teil ist Cloudflare nicht unser Auftragsverarbeiter, und die Standardvertragsklauseln aus Abschnitt 3 gelten dafür nicht. Mit der Prüfung gelangen Ihre Daten also auch für diesen Zweck zu Cloudflare, auch in die USA; wie Cloudflare sie dafür nutzt, können wir nicht beeinflussen. Auf welcher Grundlage Cloudflare Daten in die USA übermittelt, beschreibt Cloudflare in seiner Datenschutzerklärung (Link in Abschnitt 3). Dass US-amerikanische Behörden auf diese Daten zugreifen, lässt sich nicht ausschließen. Wie lange Cloudflare die Daten aus der Prüfung aufbewahrt, bestimmt Cloudflare; eine Frist nennen die Hinweise von Cloudflare zu Turnstile nicht. Einzelheiten stehen in den Datenschutzhinweisen von Cloudflare zu Turnstile.

6. E-Mail und Telefon

Wenn Sie uns schreiben oder anrufen, verarbeiten wir die Angaben, die Sie uns dabei machen: Name, Kontaktdaten und den Inhalt Ihres Anliegens. Wir verwenden sie, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO, wenn es um ein Angebot oder einen Auftrag geht, sonst Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, Ihre Frage zu beantworten.

Sie sind nicht verpflichtet, uns Daten mitzuteilen. Ohne einen Kontaktweg können wir Ihnen allerdings nicht antworten, und für ein Angebot brauchen wir Angaben zum Objekt.

E-Mails sind auf dem Weg zu uns nicht durchgehend verschlüsselt. Vertrauliches besprechen Sie besser am Telefon.

Unsere E-Mail-Postfächer liegen bei Microsoft 365. Dort kommen Ihre E-Mails an uns an, ebenso die Anfragen aus dem Formular (Abschnitt 5) und Bewerbungen (Abschnitt 7). Microsoft betreibt die Postfächer für uns als Auftragsverarbeiter nach Art. 28 DSGVO. Anbieter des Dienstes ist für Kunden im Europäischen Wirtschaftsraum die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland.

Eine Übermittlung Ihrer Daten in die USA ist dabei nicht auszuschließen. Als Grundlage dafür nennt Microsoft in seinen Bedingungen zur Auftragsverarbeitung, dem „Datenschutznachtrag für Produkte und Services von Microsoft“, die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchstabe c DSGVO). Dass Behörden in den USA auf Daten zugreifen, lässt sich nicht ausschließen.

Microsoft 365 haben wir nicht direkt bei Microsoft gebucht, sondern über GoDaddy und die DomainFactory GmbH, c/o WeWork, Neuturmstr. 5, 80331 München. Die DomainFactory GmbH gehört zur GoDaddy-Gruppe. GoDaddy ist unserem Microsoft-365-Konto als Wiederverkäufer zugeordnet und hat Zugriff darauf.

Über den Knopf „WhatsApp“ können Sie uns auch dort schreiben. Die Website überträgt dabei nichts an WhatsApp; erst wenn Sie den Knopf anklicken, öffnet sich WhatsApp mit unserer Nummer. Wir nutzen dafür WhatsApp Business. Anbieter des Dienstes ist für Nutzer in der Europäischen Union die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

Was Sie uns über WhatsApp schreiben, verwenden wir wie eine E-Mail: um Ihr Anliegen zu bearbeiten, auf derselben Rechtsgrundlage wie oben. Soweit wir uns auf Art. 6 Abs. 1 Buchstabe f DSGVO stützen, ist unser berechtigtes Interesse auch, Ihnen neben Telefon und E-Mail einen weiteren Weg zu uns anzubieten. Für die Löschung gilt der letzte Absatz dieses Abschnitts.

WhatsApp verarbeitet dabei Daten in zwei Rollen. Soweit WhatsApp Kontaktdaten wie Ihre Telefonnummer für uns verarbeitet, damit wir Ihnen über WhatsApp antworten können, handelt WhatsApp als unser Auftragsverarbeiter nach Art. 28 DSGVO. Grundlage sind die Bedingungen von WhatsApp für WhatsApp Business und die WhatsApp Business-Datenverarbeitungsbedingungen. Im Übrigen nutzen Sie WhatsApp mit Ihrem eigenen Konto. Angaben zu Ihrem Konto, Ihrem Gerät, Ihrer Verbindung und Ihrer Nutzung verarbeitet WhatsApp dann zu eigenen Zwecken nach der Datenschutzrichtlinie von WhatsApp. Darauf haben wir keinen Einfluss.

WhatsApp übermittelt Daten nach eigener Angabe auch in die USA und in weitere Länder außerhalb der Europäischen Union. In seiner Datenschutzrichtlinie nennt WhatsApp als Grundlage dafür Angemessenheitsbeschlüsse der Europäischen Kommission und Standardvertragsklauseln. Für die Daten, die WhatsApp in unserem Auftrag verarbeitet, regelt die Ergänzung für WhatsApp Business Datenübermittlungen die Übermittlung. Dass Behörden in diesen Ländern auf Daten zugreifen, lässt sich nicht ausschließen.

WhatsApp zu nutzen ist freiwillig. Sie erreichen uns genauso per Telefon, per E-Mail oder über das Formular auf der Seite Kontakt.

Wird aus der Anfrage kein Auftrag, löschen wir den Schriftwechsel, sobald das Anliegen erledigt ist und keine Rückfragen mehr zu erwarten sind. Kommt ein Auftrag zustande, gelten die gesetzlichen Aufbewahrungsfristen des Handels- und Steuerrechts (§ 257 Handelsgesetzbuch, § 147 Abgabenordnung). Sie betragen je nach Unterlage sechs bis zehn Jahre.

7. Bewerbungen

Wenn Sie sich bei uns bewerben, verarbeiten wir die Daten aus Ihrer Bewerbung: Anschreiben, Lebenslauf, Zeugnisse und Ihre Kontaktdaten. Wir verwenden sie nur, um über die Bewerbung zu entscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b DSGVO in Verbindung mit § 26 Bundesdatenschutzgesetz. Einsicht haben nur die Personen, die an der Entscheidung beteiligt sind.

Bewerbungen erreichen uns per E-Mail an info@vb-elektro.de. Was Abschnitt 6 zur Verschlüsselung und zu unseren Postfächern bei Microsoft 365 sagt, gilt auch hier. Angaben, die für die Stelle keine Rolle spielen, etwa zu Gesundheit, Religion oder Familienstand, brauchen wir nicht. Ein Foto ist freiwillig.

Auf der Seite Karriere zeigt ein Widget von meinestelle.de unsere offenen Stellen (Abschnitt 10). Bewerben Sie sich über das Formular auf meinestelle.de, nimmt zuerst die Sellwerk GmbH & Co. KG Ihre Angaben entgegen und leitet sie nach ihrer Datenschutzerklärung an das ausschreibende Unternehmen weiter, also an uns. Für das, was bei Sellwerk geschieht, gilt deren Datenschutzerklärung. Ab dem Eingang bei uns gilt dieser Abschnitt.

Kommt es nicht zu einer Einstellung, löschen wir Ihre Unterlagen sechs Monate nach der Absage. So lange brauchen wir sie, um uns gegen mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz verteidigen zu können (Art. 6 Abs. 1 Buchstabe f DSGVO). Länger bewahren wir eine Bewerbung nur auf, wenn Sie dem ausdrücklich zugestimmt haben. Stellen wir Sie ein, gehen die Unterlagen in die Personalakte über.

8. Unsere Auftritte in sozialen Medien

Wir haben eine Seite bei Facebook und ein Profil bei Instagram. Beide Dienste betreibt für Nutzer in der Europäischen Union die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Besuchen Sie unsere Seite oder unser Profil, verarbeitet Meta Daten über Sie, etwa Ihre IP-Adresse, Angaben zu Browser und Gerät und Informationen aus Cookies, zum Teil auch dann, wenn Sie bei Meta nicht angemeldet sind. Von unserer Website aus fließen dabei erst Daten, wenn Sie einen der Links dorthin anklicken (Abschnitt 4).

Aus solchen Daten erstellt Meta Statistiken darüber, wie Menschen unsere Seite und unsere Beiträge nutzen, etwa wie oft sie Beiträge ansehen, teilen oder kommentieren und aus welcher Gegend und Altersgruppe die Besucher ungefähr kommen („Seiten-Insights“). Für die Verarbeitung Ihrer Daten zu diesen Statistiken sind wir gemeinsam mit Meta verantwortlich (Art. 26 DSGVO). Wir erhalten davon nur zusammengefasste Zahlen, keine Daten über einzelne Personen. Welche Daten Meta dafür erfasst, legt Meta allein fest.

Was Meta und wir dazu vereinbart haben, steht in der Seiten-Insights-Ergänzung bezüglich des Verantwortlichen. Danach übernimmt Meta die Pflichten aus der DSGVO für diese Daten, darunter die Information der Betroffenen, die Beantwortung von Anfragen zu Ihren Rechten und die Sicherheit der Verarbeitung. Die Vereinbarung nennt nur Facebook-Seiten, Instagram erwähnt sie nicht. Soweit Meta auch zu unserem Instagram-Profil solche Statistiken erstellt, gehen wir davon aus, dass wir auch dafür gemeinsam mit Meta verantwortlich sind; Rechtsgrundlage und Ihre Rechte sind dieselben wie bei Facebook.

Rechtsgrundlage für unseren Teil ist Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, unseren Betrieb auch dort vorzustellen, für Menschen erreichbar zu sein, die diese Dienste nutzen, und zu erfahren, wie unsere Beiträge ankommen.

Für alles andere, was bei Facebook und Instagram mit Ihren Daten geschieht, ist Meta eigenständig verantwortlich. Welche Daten Meta erhebt, wofür Meta sie nutzt, wie lange Meta sie speichert und wohin Meta sie übermittelt, beschreibt Meta in seiner Datenschutzrichtlinie. Danach teilt Meta Informationen weltweit, also auch mit Stellen außerhalb der Europäischen Union. Darauf haben wir keinen Einfluss. Schreiben Sie uns dort eine Nachricht, verwenden wir sie wie eine E-Mail; es gilt Abschnitt 6.

Ihre Rechte aus Abschnitt 12 können Sie uns gegenüber und ebenso gegenüber Meta geltend machen (Art. 26 Abs. 3 DSGVO). Nach der Vereinbarung beantwortet Meta Anfragen zu den Statistikdaten; nur Meta hat Zugriff auf die Daten einzelner Personen. Schreiben Sie uns, leiten wir Ihre Anfrage an Meta weiter. Meta erreichen Sie über die Wege, die in der Datenschutzrichtlinie von Meta genannt sind.

9. Karte von Google Maps

Auf der Kontaktseite und im Abschnitt „Hier finden Sie uns“ am Ende vieler Seiten steht ein Kartenfeld. Beim Aufruf der Seite lädt es nichts von Google: Sie sehen unsere Anschrift und den Knopf „Karte laden“. Erst wenn Sie diesen Knopf anklicken, bindet die Seite eine Karte von Google Maps ein. Anbieter ist für Nutzer in der Europäischen Union die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Mit dem Klick verbindet sich Ihr Browser mit Servern von Google. Dabei erhält Google Ihre IP-Adresse, die Adresse unserer Website (nicht die aufgerufene Unterseite), Angaben zu Browser und Gerät und die Anschrift, die die Karte zeigt. Google kann dabei Informationen in Ihrem Browser ablegen oder auslesen, etwa Cookies. Die Karte, ihre Kacheln und die Schriften darin kommen dann von Servern von Google.

Rechtsgrundlage ist Ihre Einwilligung: für das Ablegen und Auslesen von Informationen auf Ihrem Gerät nach § 25 Abs. 1 TDDDG, für die Verarbeitung Ihrer Daten nach Art. 6 Abs. 1 Buchstabe a DSGVO. Sie erteilen sie mit dem Klick auf „Karte laden“. Die Einwilligung gilt nur für die Seite, die Sie gerade ansehen; wir speichern sie nicht. Rufen Sie eine Seite neu auf oder wechseln Sie die Seite, ist die Karte wieder ausgeblendet, bis Sie erneut klicken. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Seite neu laden oder verlassen und die Karte nicht wieder laden. Was bis dahin verarbeitet wurde, bleibt davon unberührt. Ohne die Karte fehlt Ihnen nichts: Unsere Anschrift steht im Kartenfeld, und der Knopf „Route planen“ führt über einen gewöhnlichen Link zur Routenplanung von Google Maps.

Dass die Karte lädt und Ihre Daten dabei an Google gehen, haben wir zu verantworten. Was Google mit den Daten danach macht, verantwortet Google allein; darauf haben wir keinen Einfluss. Google beschreibt das in seiner Datenschutzerklärung.

Google betreibt nach eigener Angabe Server auf der ganzen Welt. Ihre Daten können deshalb außerhalb der Europäischen Union verarbeitet werden, auch in den USA. Als Grundlage für solche Übermittlungen nennt Google in seinen rechtlichen Rahmenbedingungen für Datenübermittlungen unter anderem Angemessenheitsbeschlüsse der Europäischen Kommission und Standardvertragsklauseln. Dass Behörden in diesen Ländern auf Daten zugreifen, lässt sich nicht ausschließen. Wie lange Google die Daten aufbewahrt, bestimmt Google.

10. Stellenangebote von meinestelle.de

Auf der Seite Karriere zeigen wir unsere offenen Stellen in einem Widget von meinestelle.de. Anbieter ist die Sellwerk GmbH & Co. KG, Pretzfelder Straße 7–11, 90425 Nürnberg („Sellwerk“). Nur diese eine Seite lädt das Widget, und sie lädt es beim Aufruf, ohne dass Sie etwas anklicken. Ihr Browser holt dafür ein Programm von cdn.deine.jobs und fragt danach bei pfj.deine.jobs die Stellen ab, die zu unserem Arbeitgeberprofil gehören. Beide Adressen gehören zum Dienst von Sellwerk.

Dabei erhält Sellwerk Ihre IP-Adresse, Datum und Uhrzeit des Abrufs, die angeforderte Adresse, die Adresse unserer Website (nicht die aufgerufene Unterseite), die Sprache Ihres Browsers und Angaben zu Browser und Betriebssystem. Das Widget setzt nach unserer Prüfung keine Cookies und legt nichts im Speicher Ihres Browsers ab. Sellwerk gibt an, dabei keine Cookies, kein Fingerprinting und keine Wiedererkennung einzusetzen.

Für das Laden des Widgets und die Übermittlung dieser Daten an Sellwerk sind wir gemeinsam mit Sellwerk verantwortlich (Art. 26 DSGVO). Das beschreibt Sellwerk in seiner Datenschutzerklärung genauso für Widgets auf den Websites seiner Partner. Was Sellwerk danach mit den Daten macht, verantwortet Sellwerk allein; darauf haben wir keinen Einfluss.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist, offene Stellen aktuell zu zeigen, ohne die Seite bei jeder Änderung von Hand zu pflegen, und Menschen zu erreichen, die bei uns arbeiten möchten. Ihre Interessen überwiegen nach unserer Abwägung nicht: Übermittelt werden nur Daten, die jeder Browser bei einem Seitenaufruf sendet, und auf einer Karriere-Seite rechnen Sie mit einer Liste offener Stellen. Weil das Widget nichts auf Ihrem Gerät ablegt, ist § 25 TDDDG nach unserer Einschätzung nicht einschlägig; eine Einwilligung fragen wir deshalb nicht ab.

Nach der Datenschutzerklärung von Sellwerk verarbeitet Sellwerk diese Daten nur kurz: um die Inhalte auszuliefern, automatisierte Zugriffe auszufiltern und das Herkunftsland Ihres Zugriffs auf Länderebene zu bestimmen. Danach speichert Sellwerk nach eigener Angabe nur noch Zahlen ohne Personenbezug, etwa wie oft eine Stelle angezeigt und angeklickt wurde. Für die Protokolle seiner Server nennt Sellwerk eine Aufbewahrung von vier Wochen. Die technische Plattform von meinestelle.de betreibt laut Sellwerk die Excelsea GmbH & Co. KG, Pretzfelder Str. 7–11, 90425 Nürnberg, als Auftragsverarbeiterin. Beide Adressen des Widgets liegen nach den öffentlichen Registerdaten in einem Netz in Nürnberg. Von einer Übermittlung in ein Land außerhalb der Europäischen Union ist uns nichts bekannt; Sellwerk nennt für das Widget keine.

Klicken Sie im Widget auf eine Stelle, öffnet sich die Anzeige auf meinestelle.de in einem neuen Tab. Der Link führt zuerst über pfj.deine.jobs und dann weiter zu meinestelle.de; Sellwerk zählt nach eigener Angabe, wie oft Stellen angeklickt werden. Ab dort nutzen Sie die Website von Sellwerk, und es gilt die Datenschutzerklärung von Sellwerk (Abschnitt 4). Bewerben Sie sich über meinestelle.de, steht in Abschnitt 7, was nach dem Eingang bei uns gilt.

Ihre Rechte aus Abschnitt 12 können Sie uns gegenüber und ebenso gegenüber Sellwerk geltend machen (Art. 26 Abs. 3 DSGVO). Wie Sie Sellwerk erreichen, steht in der Datenschutzerklärung von Sellwerk. Der Verarbeitung können Sie nach Art. 21 DSGVO widersprechen (Abschnitt 12). Das Widget brauchen Sie nicht, um sich zu bewerben. Wollen Sie es nicht laden, rufen Sie die Seite Karriere nicht auf. Bewerbungen nehmen wir per E-Mail an (Abschnitt 7), nach offenen Stellen fragen Sie am besten telefonisch unter 06172 9453608.

11. Empfänger, Drittländer und Speicherdauer im Überblick

Ihre Daten erhalten bei uns nur die Personen, die sie für ihre Aufgabe brauchen. Außerhalb des Betriebs erhalten sie technische Dienstleister, die wir für den Betrieb der Website und unserer E-Mail-Postfächer einsetzen. Als Auftragsverarbeiter nach Art. 28 DSGVO arbeiten in unserem Auftrag und nach unseren Weisungen die DRB IT Solution mit ihren Unterauftragnehmern Hetzner (Abschnitt 2) und Cloudflare (Abschnitt 3) sowie Microsoft für unsere Postfächer (Abschnitt 6). Zugriff auf unser Microsoft-365-Konto hat außerdem GoDaddy als Wiederverkäufer (Abschnitt 6). Rufen Sie die Seite Karriere auf, erhält die Sellwerk GmbH & Co. KG die Daten, mit denen das Widget lädt; Sellwerk ist dafür gemeinsam mit uns verantwortlich (Abschnitt 10). Stimmen Sie im Anfrageformular der Prüfung durch Cloudflare zu, erhält Cloudflare Daten daraus auch als eigener Verantwortlicher, um Turnstile zu verbessern (Abschnitt 5). Schreiben Sie uns über WhatsApp, erhält auch WhatsApp Ihre Daten; in welcher Rolle, steht in Abschnitt 6. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

Beim Aufruf der Website werden Daten außerhalb der Europäischen Union nach unserer Kenntnis allein über Cloudflare verarbeitet. Zweck, Rechtsgrundlage und Garantien dafür stehen in Abschnitt 3. Stimmen Sie im Anfrageformular der Prüfung mit Turnstile zu, gehen Daten dafür ebenfalls an Cloudflare; was dafür gilt, auch für die eigenen Zwecke von Cloudflare, steht in Abschnitt 5. Die Server, auf denen die Website liegt, und der Mailserver, über den das Formular verschickt wird, stehen in Deutschland. Die Adressen des Widgets auf der Seite Karriere liegen nach den Registerdaten in einem Netz in Nürnberg; mehr dazu in Abschnitt 10. Schreiben Sie uns eine E-Mail oder schicken Sie das Formular ab, liegen Ihre Angaben in unseren Postfächern bei Microsoft 365. Eine Übermittlung in die USA ist dabei nicht auszuschließen; was dafür gilt, steht in Abschnitt 6. Laden Sie die Karte, erhält auch Google Ihre Daten; was dafür gilt, steht in Abschnitt 9. Was gilt, wenn Sie unsere Auftritte bei Facebook und Instagram besuchen, steht in Abschnitt 8, was für Nachrichten über WhatsApp gilt, in Abschnitt 6.

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck es verlangt oder ein Gesetz uns zur Aufbewahrung verpflichtet. Die Fristen und die Kriterien dafür stehen in den Abschnitten 2, 3, 5, 6, 7, 9 und 10.

12. Ihre Rechte

Sie haben gegenüber uns folgende Rechte an Ihren Daten:

• Auskunft darüber, welche Daten wir über Sie verarbeiten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Herausgabe Ihrer Daten in einem gängigen Format (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Für all das genügt eine Nachricht an info@vb-elektro.de oder ein Brief an die Anschrift oben.

13. Beschwerde bei der Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, wenn Sie meinen, dass wir Ihre Daten nicht rechtmäßig verarbeiten (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
datenschutz.hessen.de

14. Keine automatisierte Entscheidung

Wir treffen keine Entscheidungen im Sinne von Art. 22 DSGVO und bilden keine Profile. Das Anfrageformular nimmt allerdings selbsttätig keine Anfragen an, deren Postleitzahl außerhalb unseres Einsatzgebiets liegt oder die die Prüfung mit Turnstile nicht bestehen (Abschnitt 5); Sie erreichen uns dann weiter per Telefon und E-Mail.

15. Verschlüsselung

Die Website wird verschlüsselt übertragen (TLS). Sie erkennen das an „https“ in der Adresszeile Ihres Browsers.

16. Änderungen

Ändert sich die Technik der Website oder die Rechtslage, passen wir diese Erklärung an. Es gilt die Fassung, die hier steht.

Stand: 22.10.2026