Datenschutz.

§ 1 Verantwortlicher

Christian Schappeit — protagx
Nußbaumallee 27
14050 Berlin
Deutschland
E-Mail: hello@protagx.com

§ 1a Datenschutzbeauftragter und CMP42 als DSGVO-Kompetenz

Für die auf dieser Website beschriebenen Verarbeitungen — Server-Logs, Bewerbungen und E-Mail-Kontakt — liegen die formellen Bestellpflichten nach § 38 Abs. 1 BDSG nicht vor: Es sind nicht mindestens zwanzig Personen ständig mit automatisierter Verarbeitung befasst (Satz 1), es besteht keine Pflicht zur Datenschutz-Folgenabschätzung (Satz 2 i.V.m. Art. 35 DSGVO), und es findet keine gewerbsmäßige Übermittlung oder Markt- und Meinungsforschung statt (Satz 3). Auch die Auslöser aus Art. 37 Abs. 1 DSGVO — Behörde, umfangreiche regelmäßige und systematische Überwachung, umfangreiche Verarbeitung besonderer Kategorien — greifen für den Betrieb dieser Website nicht.

Wir bestellen daher für den Website-Betrieb keinen Datenschutzbeauftragten. Setzen Kundinnen und Kunden CMP42 als Auftragsverarbeitungslösung ein (siehe § 13), wird die datenschutzrechtliche Verantwortlichkeit im Auftragsverarbeitungsvertrag konkret geregelt — einschließlich Folgenabschätzung, Meldeprozessen und Unterauftragsverarbeitern. Sobald protagx bei einem Kunden oder in Summe Verarbeitungen erreicht, die einen DPO nach den obigen Kriterien auslösen, wird ein Datenschutzbeauftragter bestellt und hier benannt.

Für Datenschutzanfragen ist unabhängig davon der Kontakt aus § 10 zuständig.

§ 2 Überblick: Zwecke, Daten, Rechtsgrundlagen

Zweck	Daten	Rechtsgrundlage	Speicherdauer
Auslieferung und Absicherung der Website	Gekürzte IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Statuscode, User-Agent, Referrer	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit)	7 Tage
Design-Partner-Bewerbung	Formularangaben (siehe § 6)	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage)	siehe § 6
Beantwortung Ihrer E-Mail	Name, E-Mail-Adresse, Inhalt der Nachricht	Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f (Kommunikation auf Ihren Wunsch)	bis zur Erledigung, danach gesetzliche Aufbewahrungsfristen
Vertragsdurchführung und Buchhaltung	Stamm-, Vertrags- und Abrechnungsdaten	Art. 6 Abs. 1 lit. b und c DSGVO	gesetzliche Fristen (§ 257 HGB, § 147 AO: bis zu 10 Jahre)

§ 3 Keine Cookies, keine Endgerätezugriffe

Diese Website setzt keine Cookies und nutzt weder Local Storage, Session Storage noch IndexedDB. Sie lädt keine Skripte, Schriftarten, Karten oder Videos von Drittanbietern; alle Dateien werden von unserem eigenen Server ausgeliefert. Eine Content Security Policy verhindert das Nachladen externer Ressourcen technisch.

Da keine Informationen in Ihrer Endeinrichtung gespeichert oder aus ihr ausgelesen werden, ist eine Einwilligung nach § 25 TDDDG nicht erforderlich — deshalb gibt es auch kein Cookie-Banner.

§ 4 Server-Logs

Beim Aufruf der Website verarbeitet unser Webserver technisch notwendige Zugriffsdaten:

• IP-Adresse, die vor der Speicherung gekürzt wird (IPv4: letztes Oktett, IPv6: auf /48)
• Datum und Uhrzeit der Anfrage
• aufgerufene URL und HTTP-Statuscode
• User-Agent (Browser-Kennung)
• Referrer (verweisende Seite)

Die Logs dienen ausschließlich dem sicheren Betrieb (z. B. Fehleranalyse, Abwehr von Angriffen) und werden nach 7 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Datenquellen oder eine Auswertung zu Nutzungsprofilen findet nicht statt. Die IP-Kürzung sowie die 7-tägige Rotation erfolgen in nginx. Der vorgeschaltete Traefik-Reverse-Proxy protokolliert Zugriffe nur zu Betriebszwecken und speichert selbst keine Client-IPs über die aktive Verbindung hinaus.

§ 5 Hosting

Diese Website und der Bewerbungs-Endpunkt werden auf einem Server betrieben bei:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Der Serverstandort liegt in Deutschland (Rechenzentren Falkenstein oder Nürnberg). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO vom 24. April 2025, der beide Rechenzentrumsstandorte umfasst.

§ 6 Design-Partner-Bewerbung

Wenn Sie sich über das Formular auf der Design-Partner-Seite bewerben, verarbeiten wir die dort angegebenen Daten: Name, Unternehmen, Rolle, E-Mail-Adresse, Website des Unternehmens, Teamgröße, eingesetztes CRM und KI-Tool sowie Ihre Freitextangaben. Pflichtfelder sind Name, Unternehmen, E-Mail-Adresse und die Beschreibung Ihres Workflows; alle übrigen Angaben sind freiwillig.

Zweck ist die Prüfung Ihrer Bewerbung, die Vereinbarung des 15-minütigen Gesprächs und gegebenenfalls die Aufnahme in das Design-Partner-Programm. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage).

So funktioniert die Übermittlung: Das Formular wird verschlüsselt (HTTPS) an unseren Server übertragen. Ein kleiner Dienst prüft die Angaben und leitet sie als E-Mail an unser Postfach hello@protagx.com weiter. Auf dem Webserver wird die Bewerbung nicht gespeichert; die Server-Logs enthalten keine Formularinhalte. Wir versenden keine automatischen E-Mails an die angegebene Adresse und nehmen Sie in keinen Verteiler auf.

Speicherdauer: Kommt keine Zusammenarbeit zustande, löschen wir Ihre Bewerbung spätestens zwölf Monate nach Abschluss des Bewerbungsverfahrens. Dieser Zeitraum deckt die Programmlaufzeit von sechs Monaten sowie eine anschließende Nachrück-Phase ab, in der freigewordene Plätze aus der ursprünglichen Bewerberrunde besetzt werden können. Kommt ein Vertrag zustande, gelten die Fristen aus § 2.

§ 7 Kontakt per E-Mail

Wenn Sie uns eine E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst lit. f). Wir löschen die Korrespondenz, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 8 Empfänger

Wir geben personenbezogene Daten nur weiter, soweit dies für die genannten Zwecke erforderlich ist:

• Hosting-Anbieter: Hetzner Online GmbH (Deutschland), siehe § 5.
• E-Mail-Postfach hello@protagx.com: Google Workspace, betrieben durch Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Google Ireland setzt Unterauftragsverarbeiter der Muttergesellschaft Google LLC (USA) ein; die Übermittlung ist durch Standardvertragsklauseln der EU-Kommission und ergänzende technische Maßnahmen abgesichert. Google LLC ist zusätzlich nach dem EU-U.S. Data Privacy Framework zertifiziert.
• E-Mail-Versand der Bewerbungs-Benachrichtigung: Twilio SendGrid, betrieben durch Twilio Ireland Limited, 25-28 North Wall Quay, Dublin 1, Irland. Es besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Twilio Ireland setzt Unterauftragsverarbeiter der Muttergesellschaft Twilio Inc. (USA) ein; die Übermittlung ist durch Standardvertragsklauseln und ergänzende technische Maßnahmen abgesichert. Twilio Inc. ist ebenfalls nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Steuerberatung und Buchhaltungssoftware im Rahmen gesetzlicher Aufbewahrungspflichten (§ 257 HGB, § 147 AO). Die konkreten Empfänger werden auf Anfrage im Rahmen des Auskunftsrechts (§ 10) benannt.

§ 9 Übermittlung in Drittländer

Die Verarbeitung durch das E-Mail-Postfach (Google Workspace) und den Versanddienstleister (Twilio SendGrid) findet primär in der Europäischen Union statt. Beide Dienstleister setzen Unterauftragsverarbeiter ihrer US-Muttergesellschaften ein. Die Übermittlung in die USA ist durch Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO sowie ergänzende technische und organisatorische Maßnahmen abgesichert; beide Muttergesellschaften sind zusätzlich nach dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO) zertifiziert. Für den Betrieb der Website selbst (Hosting, Server-Logs) findet keine Übermittlung außerhalb des EWR statt.

§ 10 Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine formlose Nachricht genügt: hello@protagx.com — Auskunftsersuchen nach Art. 15 DSGVO. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

§ 11 Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe können Sie sich nach Art. 77 DSGVO bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
datenschutz-berlin.de

§ 12 Sicherheit

Alle Verbindungen zu dieser Website sind per TLS verschlüsselt; HTTP Strict Transport Security (HSTS) erzwingt HTTPS. Eine restriktive Content Security Policy unterbindet das Laden externer Skripte und Ressourcen.

§ 13 CMP42 als Produkt

Diese Erklärung betrifft die Website cmp42.com. Wenn Unternehmen CMP42 als Design Partner oder Kunde nutzen, verarbeiten wir die dort eingestellten Daten als Auftragsverarbeiter im Auftrag des jeweiligen Unternehmens. Hierfür schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ab; Verantwortlicher ist das Kundenunternehmen.

§ 14 Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

§ 15 Änderungen

Wir passen diese Erklärung an, wenn sich Rechtslage oder Funktionen der Website ändern. Es gilt die jeweils hier veröffentlichte Fassung.