Rechtliches
Hier erfahren Sie, welche personenbezogenen Daten beim Besuch von mth-datenschutz.de verarbeitet werden, wozu das geschieht und welche Rechte Sie haben.
Kurz vorab: Diese Website bindet keine Inhalte von Drittanbietern ein und nutzt keine Analyse- oder Werbedienste. Schriften, Bilder, Skripte und die Audiodateien des Podcasts werden von meinem Webspace geladen. Cookies setzt die Website für Besucherinnen und Besucher nicht. Für die Podcast-Folgen führe ich eine eigene Abrufstatistik auf meinem Server, und der Audioplayer merkt sich in Ihrem Browser, wo Sie beim Hören stehen. Beides erkläre ich in Abschnitt 4.
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Marc Oliver Thoma
mth-datenschutz
Irisweg 43
53773 Hennef (Sieg)
Telefon: 02242 / 90 560 09
E-Mail: marc.thoma@mth-training.de
Ich arbeite selbst als externer Datenschutzbeauftragter für andere Organisationen. Für mein eigenes Unternehmen bin ich nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (Art. 37 Abs. 1 DSGVO, § 38 Abs. 1 BDSG). Bei Fragen zum Datenschutz auf dieser Website wenden Sie sich bitte direkt an mich.
Diese Website läuft auf einem Server, den ich bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, betreibe und selbst administriere. STRATO stellt die Infrastruktur bereit und verarbeitet dabei in meinem Auftrag die Daten, die beim Betrieb der Website anfallen, auch beim Abruf der Podcast-Dateien und die Daten aus dem Kontaktformular. Mit STRATO habe ich einen Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Die Verarbeitung findet in Rechenzentren in Deutschland statt.
Wenn Sie die Website aufrufen oder Ihre Podcast-App eine Folge lädt, übermittelt Ihr Gerät automatisch technische Informationen an den Server. In den sogenannten Server-Logdateien werden gespeichert:
• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite oder Datei
• übertragene Datenmenge und Statuscode (zum Beispiel „erfolgreich“ oder „nicht gefunden“)
• Seite, von der aus Sie gekommen sind (Referrer), sofern Ihr Browser sie übermittelt
• Browsertyp beziehungsweise Podcast-App, Version und Betriebssystem
Diese Daten brauche ich, um die Website und die Podcast-Dateien auszuliefern, die Sicherheit zu gewährleisten und Angriffe oder Störungen zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website. Ich führe diese Daten nicht mit anderen Daten zusammen.
Die Bereitstellung dieser Daten ist technisch erforderlich. Ohne sie kann die Website nicht angezeigt und keine Folge abgespielt werden.
Die IP-Adressen in den Logdateien lösche ich nach sieben Tagen. Länger gespeichert werden sie nur, wenn ein konkreter Sicherheitsvorfall aufgeklärt werden muss.
Die Website nutzt eine TLS-Verschlüsselung. Sie erkennen sie am „https://“ in der Adresszeile Ihres Browsers. Daten, die Sie an mich übermitteln, zum Beispiel über das Kontaktformular, sind dadurch auf dem Übertragungsweg vor dem Mitlesen durch Dritte geschützt.
Auf dieser Website erscheint der Podcast „Risikobasierter Ansatz“. Für die Website und die hier beschriebene Verarbeitung bin ich verantwortlich. Zugriff auf die Website hat außerdem ein Mitbetreiber des Podcasts mit Administratorrechten.
Die Audiodateien und der Podcast-Feed liegen auf meinem Webspace. Ihr Gerät ruft sie direkt von dort ab, wenn Sie eine Folge im Player auf dieser Website abspielen, sie herunterladen oder wenn Ihre Podcast-App (zum Beispiel Apple Podcasts) den Feed abonniert hat und neue Folgen lädt. Dabei fallen die Logdaten aus Abschnitt 2 an.
Damit ich weiß, wie oft die einzelnen Folgen gehört werden und über welche Wege, zähle ich die Abrufe der Audiodateien. Das übernimmt die Software Podlove Publisher, die auf meinem Webspace läuft. Die Daten verlassen meinen Server dabei nicht.
Pro Abruf werden gespeichert:
• eine Prüfsumme (Request-ID), die aus Ihrer gekürzten IP-Adresse und der Kennung Ihres Browsers oder Ihrer Podcast-App gebildet wird; die IP-Adresse selbst wird nicht gespeichert
• die Kennung Ihres Browsers oder Ihrer Podcast-App, daraus abgeleitet App, Betriebssystem und Gerätetyp
• die abgerufene Datei, Datum und Uhrzeit
• der Abrufweg (zum Beispiel Player auf dieser Website, Podcast-Feed oder Download)
• der ungefähre Standort auf Ebene von Stadt oder Bundesland einschließlich der zugehörigen Koordinaten, den die Software mit einer lokal gespeicherten Geodatenbank (GeoLite2 von MaxMind) aus der IP-Adresse ableitet; die IP-Adresse wird dafür nicht an MaxMind oder andere übermittelt
Die Prüfsumme dient nur dazu, mehrfache Abrufe desselben Geräts innerhalb kurzer Zeit als einen Abruf zu zählen. Nach 24 bis 48 Stunden wird sie mit einem Zufallswert neu berechnet. Danach lassen sich die gespeicherten Daten keiner Person mehr zuordnen und bleiben für die Statistik gespeichert. Ich werte die Statistik nur zusammengefasst aus und erstelle keine Profile.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt darin, die Reichweite des Podcasts zu kennen und das Angebot danach auszurichten.
Für das Abspielen auf dieser Website nutze ich den Podlove Web Player. Er wird ebenfalls von meinem Webspace geladen. Der Player legt im lokalen Speicher Ihres Browsers (Local Storage) einen Eintrag an, in dem er sich die Abspielposition und die geöffneten Bereiche des Players (etwa Kapitel) merkt. So können Sie eine Folge später an derselben Stelle fortsetzen. Dieser Eintrag bleibt auf Ihrem Gerät und wird nicht an mich übertragen.
Rechtsgrundlage für das Speichern auf Ihrem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG: Die Speicherung ist unbedingt erforderlich, damit der Player die von Ihnen genutzte Funktion bereitstellen kann. Sie können den Eintrag jederzeit über die Einstellungen Ihres Browsers löschen („Websitedaten löschen“).
Wenn Sie mir über das Kontaktformular schreiben, verarbeite ich die Angaben, die Sie dort machen:
• Name (Pflichtfeld)
• E-Mail-Adresse (Pflichtfeld)
• Organisation (freiwillig)
• Art Ihres Anliegens (freiwillig)
• Ihre Nachricht (Pflichtfeld)
Ich brauche diese Angaben, um Ihre Anfrage zu bearbeiten und Ihnen zu antworten. Ohne die Pflichtfelder kann ich Ihnen nicht antworten. Alle anderen Angaben sind freiwillig.
Ihre Anfrage wird per E-Mail an mich übermittelt und auf dem Webserver nicht gespeichert. Zur Kontrolle des Versands protokolliere ich lediglich Empfänger, Betreff, Zeitpunkt und Zustellstatus der E-Mail und lösche diese Angaben nach einem Monat.
Sie können mich auch direkt per E-Mail oder Telefon erreichen. Ich verarbeite dann die Angaben, die Sie mir mitteilen, zu denselben Zwecken und auf denselben Rechtsgrundlagen wie beim Kontaktformular. E-Mails laufen dabei über Microsoft 365 (siehe Abschnitt 6).
Geht es um einen Auftrag oder die Vorbereitung eines Auftrags, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bei allen anderen Anfragen ist es Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt dann darin, Anfragen zu beantworten, die an mich gerichtet werden.
Meine E-Mails, auch die aus dem Kontaktformular, verschicke und empfange ich über Microsoft 365. Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Mit Microsoft besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO (Microsoft Products and Services Data Protection Addendum).
Es lässt sich nicht ausschließen, dass Daten auch an die Microsoft Corporation in den USA übermittelt werden. Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert. Übermittlungen an sie stützen sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Ergänzend hat Microsoft Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO).
Damit bei einem technischen Fehler keine Daten verloren gehen, sichere ich die Website wöchentlich. Die Sicherungen enthalten die Inhalte und die Datenbank der Website, also auch die Abrufstatistik des Podcasts.
Die Sicherungen liegen auf einem eigenen Cloud-Speicher (Nextcloud), den ich bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betreibe. Mit Hetzner besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Die Server stehen in Deutschland. Aufbewahrt werden jeweils die letzten vier Sicherungen, ältere werden automatisch gelöscht.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse liegt darin, die Website bei einem Fehler wiederherstellen zu können.
Für Besucherinnen und Besucher setzt diese Website keine Cookies. Auf dem Endgerät speichert sie nur den Eintrag des Audioplayers auf den Seiten der Podcast-Folgen (siehe Abschnitt 4).
Beim Aufruf der Anmeldeseite von WordPress und bei der Anmeldung im Verwaltungsbereich setzt WordPress technisch notwendige Cookies. Das betrifft nur Personen, die die Website verwalten.
Die Website verwendet die Schrift „Source Sans 3“. Sie wird von meinem Webspace geladen, nicht von Google oder einem anderen Anbieter. Dabei werden keine Daten an Dritte übertragen.
Auf dieser Website finden Sie Links zu anderen Angeboten, zum Beispiel zum YouTube-Kanal „Risikobasierter Ansatz“, zu Podcast-Verzeichnissen wie Apple Podcasts und Spotify, zum Podcast-Feed (RSS), zu LinkedIn, zu Websites anderer Anbieter und zu meiner zweiten Website mth-training.de.
Das sind einfache Links. Solange Sie nicht darauf klicken, werden keine Daten an diese Anbieter übertragen. Klicken Sie einen Link an, übermittelt Ihr Browser die Adresse dieser Seite an die Zielseite. Für die Datenverarbeitung dort ist der jeweilige Betreiber verantwortlich.
Ich speichere personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Für Logdateien, Abrufstatistik und Sicherungen stehen die Fristen in den jeweiligen Abschnitten. Anfragen, aus denen kein Auftrag entsteht, lösche ich spätestens zwölf Monate nach dem letzten Kontakt.
Entsteht aus einer Anfrage ein Auftrag, bewahre ich die zugehörigen Unterlagen auf, soweit ich gesetzlich dazu verpflichtet bin (Art. 6 Abs. 1 lit. c DSGVO): Geschäftsbriefe, auch per E-Mail, sechs Jahre; Rechnungen und andere Buchungsbelege acht Jahre (§ 147 Abs. 1 und 3 AO, § 14b Abs. 1 UStG). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.
Darüber hinaus bewahre ich Auftragsunterlagen bis zum Ablauf der Verjährungsfristen für vertragliche Ansprüche auf, in der Regel drei Jahre (§ 195 BGB). Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. f DSGVO.
Empfänger sind die oben genannten Dienstleister (STRATO, Microsoft, Hetzner) sowie der Mitbetreiber des Podcasts mit Administratorrechten (siehe Abschnitt 4). Personenbezogene Daten aus Aufträgen erhalten nur mein Steuerberater und, soweit gesetzlich vorgeschrieben, die Finanzbehörden.
Sie haben mir gegenüber folgende Rechte in Bezug auf Ihre personenbezogenen Daten:
• Auskunft darüber, welche Daten ich über Sie verarbeite (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
Eine formlose Nachricht an marc.thoma@mth-training.de genügt.
Soweit ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeite, können Sie dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Ich verarbeite die Daten dann nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Meinung sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt (Art. 77 DSGVO). Sie können sich dafür an die Aufsichtsbehörde Ihres Wohnorts oder Arbeitsplatzes wenden. Für mich zuständig ist:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de
Ich treffe keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstelle keine Profile.
Ich passe diese Datenschutzerklärung an, wenn sich die Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.
Stand: 6. November 2026