Datenschutzerklärung (DSGVO, BDSG & TDDDG)
Transparente Datenverarbeitung nach der EU-Datenschutz-Grundverordnung (DSGVO) & TDDDG
Diese Datenschutzerklärung informiert Sie ausführlich, transparent und lückenlos über Art, Umfang, Zwecke, Rechtsgrundlagen und Speicherdauer der Verarbeitung personenbezogener Daten auf der offiziellen Webplattform von Vara Digital Media unter der zentralen Domain https://varadigitalmedia.com.
Die Verarbeitung erfolgt in strikter Übereinstimmung mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) sowie dem Digitale-Dienste-Gesetz (DDG).
Technischer Leitgrundsatz: Unsere Systemarchitektur folgt den Prinzipien der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) sowie „Privacy by Design & Privacy by Default“ (Art. 25 DSGVO). Wir verzichten standardmäßig auf fremde Werbe-Tracker, US-Cloud-Netzwerke, serverübergreifende Schrifteinbettungen oder automatisierte Profiling-Mechanismen.
1. Präambel & Grundsätze der Datenverarbeitung (Art. 5 DSGVO)
Der Schutz Ihrer Privatsphäre und der vertrauensvolle Umgang mit Ihren personenbezogenen Daten stehen im Zentrum unseres Handelns. Jede Datenverarbeitung auf unseren Systemen orientiert sich an den fundamentalen Grundsätzen des Art. 5 DSGVO:
Daten werden nur auf Basis einer gültigen Rechtsgrundlage und für die betroffene Person nachvollziehbar verarbeitet (Art. 5 Abs. 1 lit. a DSGVO).
Daten werden ausschließlich für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet (Art. 5 Abs. 1 lit. b DSGVO).
Die Erhebung personenbezogener Daten ist auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt (Art. 5 Abs. 1 lit. c DSGVO).
Wir treffen alle angemessenen Maßnahmen, damit unrichtige personenbezogene Daten unverzüglich gelöscht oder berichtigt werden (Art. 5 Abs. 1 lit. d DSGVO).
Personenbezogene Daten werden nur so lange gespeichert, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO).
Umfassende technische und organisatorische Schutzmaßnahmen sichern Ihre Daten vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust (Art. 5 Abs. 1 lit. f und Abs. 2 DSGVO).
2. Name und Kontaktdaten der verantwortlichen Stelle (Art. 4 Nr. 7 DSGVO)
Verantwortliche Stelle (Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, sonstiger in den Mitgliedstaaten der Europäischen Union geltenden Datenschutzgesetze und anderer Bestimmungen mit datenschutzrechtlichem Charakter) für die Datenverarbeitung auf dieser Website ist:
Datenschutzbeauftragter (§ 38 BDSG / Art. 37 DSGVO)
[RECHTLICH PRÜFEN: Gesetzliche Pflicht zur Benennung eines betrieblichen Datenschutzbeauftragten prüfen. Gemäß § 38 Abs. 1 BDSG ist ein Datenschutzbeauftragter verpflichtend zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind oder Verarbeitungen vorgenommen werden, die einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO unterliegen, oder Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung verarbeitet werden.]
Sie erreichen unseren betrieblichen Datenschutzansprechpartner jederzeit direkt und vertraulich unter:
E-Mail: privacy@varadigitalmedia.com oder postalisch an unsere oben angegebene Anschrift mit dem Adresszusatz „Datenschutz / Privacy“.
3. Begriffsbestimmungen (Art. 4 DSGVO, § 2 TDDDG & § 1 DDG)
Um maximale juristische Klarheit und Transparenz zu gewährleisten, basieren die in dieser Erklärung verwendeten Begriffe auf den gesetzlichen Definitionen:
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen (z. B. Name, Kennnummer, Standortdaten, Online-Kennung, IP-Adresse).
Sensible Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder Gewerkschaftszugehörigkeit hervorgehen, sowie genetische, biometrische oder Gesundheitsdaten.
Jeder ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten wie das Erheben, Erfassen, die Organisation, das Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln oder Löschen.
Die natürliche oder juristische Person, Behörde oder Einrichtung, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Eine natürliche oder juristische Person, Behörde, Dienststelle oder andere Stelle, die personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet (z. B. ISO-27001 Rechenzentrumsbetreiber).
Empfänger ist eine Person oder Stelle, der Daten offengelegt werden. Dritter ist jede Person außerhalb der betroffenen Person, des Verantwortlichen und des Auftragsverarbeiters.
Jede freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willenserklärung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung.
Eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von personenbezogenen Daten führt (Data Breach).
Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können (Art. 4 Nr. 5 DSGVO).
Jede direkt oder indirekt an die Schnittstelle eines öffentlichen Telekommunikationsnetzes angeschlossene Einrichtung zum Aussenden, Verarbeiten oder Empfangen von Daten (z. B. Smartphone, Notebook, Desktop-PC).
4. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO, § 26 BDSG & § 25 TDDDG)
Jede Verarbeitung personenbezogener Daten auf unserer Plattform stützt sich auf eine eindeutige, gesetzlich normierte Rechtsgrundlage:
| Verarbeitungsprozess | Erfasste Daten | Rechtsgrundlage | Zweck & Erforderlichkeit |
|---|---|---|---|
| Server-Logfiles & IT-Netzsicherheit | IP-Adresse (gekürzt), User-Agent, Zeitstempel, Request-URI, Statuscode | Art. 6 Abs. 1 lit. f DSGVO | Berechtigtes Interesse an Auslieferung, Stabilität, DDoS-Abwehr und Systemschutz (ErwG 49 DSGVO). |
| Technisch notwendige Cookies / Speicher | Session-ID (PHPSESSID), CSRF-Token, Consent-Status-Cookie | § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO | Unbedingt erforderlich zur Bereitstellung des vom Nutzer ausdrücklich angeforderten Dienstes. |
| Kontaktanfragen via Webformular | Name, geschäftliche E-Mail, Unternehmen, Telefon, Nachricht, Projektart | Art. 6 Abs. 1 lit. b & lit. f DSGVO | Erfüllung vorvertraglicher Maßnahmen bzw. berechtigtes Interesse an professioneller Geschäftskommunikation. |
| Bewerbungen (/careers) | Stammdaten, Lebenslauf, Zeugnisse, Qualifikationen, Anschreiben | § 26 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO | Entscheidung über die Begründung eines Beschäftigungsverhältnisses. |
| Rechtliche Aufbewahrungspflichten | Geschäftsbriefe, Vertragsdaten, Buchungs- und Rechnungsunterlagen | Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB, § 147 AO | Erfüllung gesetzlicher handels- und steuerrechtlicher Archivierungspflichten (6 bzw. 10 Jahre). |
| Optionale Dienste / Consent | Präferenzen, optionale Drittmedien (nur nach Aktivierung) | Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG | Ausschließlich nach freiwilliger, jederzeit widerruflicher vorheriger Einwilligung. |
Interessenabwägung gemäß Art. 6 Abs. 1 lit. f DSGVO:
Soweit wir Verarbeitungen auf berechtigte Interessen stützen, führen wir eine dreistufige Abwägung durch: (1) Feststellung unseres legitimen Zwecks (z. B. Abwehr von Cyberangriffen, Schutz vor Serverausfällen, Beantwortung von Anfragen), (2) Erforderlichkeit der Datenverarbeitung für diesen Zweck und (3) Abwägung mit den Grundrechten und Grundfreiheiten der Nutzer. Gemäß Erwägungsgrund 49 der DSGVO stellt die Verarbeitung personenbezogener Daten durch Anbieter von Telemediendiensten in dem für die Gewährleistung der Netz- und Informationssicherheit unbedingt notwendigen Maß ein anerkanntes berechtigtes Interesse dar.
5. Webhosting, Infrastruktur & Server-Protokolldateien (Server-Logfiles)
Unsere Webplattform wird auf dedizierten, hochsicheren Servern eines zertifizierten Rechenzentrumsbetreibers mit physischem Standort in der Bundesrepublik Deutschland (Standortregion Frankfurt am Main) betrieben.
[RECHTLICH PRÜFEN: Konkreten Hoster mit ladungsfähiger Anschrift benennen, z. B. Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland oder netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe].
Mit dem Hosting-Anbieter besteht ein rechtswirksamer Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO. Der Hoster verarbeitet Daten ausschließlich nach unseren dokumentierten Weisungen und unter Einhaltung strengster Sicherheitsstandards (ISO/IEC 27001 zertifiziert, redundante Notstromversorgung, biometrische Zutrittskontrollen).
Automatisierte Server-Logfiles
Bei jedem Abruf unserer Webseiten unter https://varadigitalmedia.com erfasst unser Webserver automatisiert technische Verbindungsdaten, die Ihr Browser an uns übermittelt. Im Einzelnen werden protokolliert:
GET /services HTTP/2.0)200 OK, 404 Not Found)Verarbeitungszweck: Die vorübergehende Speicherung dieser Verbindungsdaten ist technisch zwingend erforderlich, um die Auslieferung der Website an Ihr Endgerät zu ermöglichen, die Stabilität und Betriebsbereitschaft unserer Server sicherzustellen sowie Cyberangriffe (wie z. B. DoS-/DDoS-Attacken, Brute-Force-Versuche oder Injektionsversuche) zu erkennen, abzuwehren und forensisch aufzuklären.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ergibt sich aus den vorgenannten Sicherheits- und Verfügbarkeitszwecken.
Speicherdauer & Löschkonzept: Server-Logfiles werden getrennt von Ihren sonstigen personenbezogenen Daten in gesicherten Protokolldateien gespeichert. Sie werden im Rahmen unseres automatisierten rollierenden Log-Rotationssystems nach spätestens 7 Tagen unwiderruflich gelöscht oder vollständig anonymisiert. Eine längere Speicherung erfolgt ausschließlich dann, wenn dies zur Beweissicherung bei konkreten sicherheitsrelevanten Vorfällen bis zur endgültigen Klärung des Sachverhalts erforderlich ist.
6. Strikte Zero-External-Asset-Architektur & Lokale Schriften
Um vollständige Datensouveränität zu garantieren und jeglichen unkontrollierten Datenabfluss an Drittanbieter (insbesondere US-Tech-Konzerne) von vornherein auszuschließen, haben wir unsere Plattform nach dem Grundsatz der Zero-External-Asset-Architektur konzipiert:
-
Lokale Schriftarten (Self-Hosted Local Fonts): Wir verzichten vollständig auf die dynamische Einbindung von Schriftarten über Server von Drittanbietern (wie Google Fonts oder Adobe Fonts). Sämtliche verwendeten Typografien (u. a. Inter, JetBrains Mono) sind lokal im WOFF2-Format auf unserem eigenen Server unter
/public/assets/fonts/hinterlegt und werden direkt von https://varadigitalmedia.com ausgeliefert. Es findet zu keinem Zeitpunkt eine Übertragung Ihrer IP-Adresse an externe Schriftenserver statt. Damit setzen wir die Vorgaben der Rechtsprechung (u. a. LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20) lückenlos um. - Keine externen Content Delivery Networks (CDNs): Wir binden keine Skripte, Stylesheets oder Icons über fremde CDNs (wie Cloudflare, cdnjs, jsDelivr, unpkg) ein. Sämtliche CSS-, JavaScript- und Bilddateien liegen auf unserer eigenen Serverinfrastruktur in Deutschland.
- Keine externen Captcha-Dienste: Wir setzen keine externen Tracking-Captchas (wie Google reCAPTCHA oder hCaptcha) ein, die das Nutzerverhalten geräteübergreifend analysieren und Profiling durchführen. Unser Formularschutz erfolgt vollständig serverseitig über zeitbasierte Tokens, kryptografische CSRF-Schutzschlüssel, Honeypot-Felder und IP-basiertes Rate Limiting.
- Keine externen Analyse- oder Tracking-Tools: Wir verzichten auf Google Analytics, Meta Pixel, TikTok Pixel, Hotjar oder sonstige verhaltensorientierte Third-Party-Tracker.
-
Keine Social Media Plugins mit Datenabfluss: Links zu Plattformen wie LinkedIn oder Discord sind als einfache statische HTML-Links (
<a href="...">) implementiert. Erst beim aktiven Anklicken verlassen Sie unsere Website.
7. Cookie- und Einwilligungsmanagement nach § 25 TDDDG & DSGVO
Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, vormals TTDSG) regelt in § 25 den Schutz der Privatsphäre bei Endeinrichtungen:
Diese Speicherungen auf Ihrer Endeinrichtung sind technisch zwingend erforderlich, damit wir Ihnen den von Ihnen aufgerufenen digitalen Telemediendienst zur Verfügung stellen können. Sie bedürfen keiner Einwilligung und können nicht abgewählt werden. Rechtsgrundlage für den Zugriff/die Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG; für die nachgelagerte Verarbeitung personenbezogener Daten Art. 6 Abs. 1 lit. f DSGVO (bzw. Art. 6 Abs. 1 lit. b DSGVO bei Verträgen).
| Name / Cookie | Anbieter | Zweck & Funktion | Gültigkeitsdauer |
|---|---|---|---|
| PHPSESSID | First-Party (varadigitalmedia.com) | Sichere Sitzungsverwaltung im Arbeitsspeicher des Servers zur Status-Zuordnung. | Session (gelöscht beim Schließen des Browsers) |
| vdm_csrf_token | First-Party (varadigitalmedia.com) | Kryptografischer Schutz vor bösartigen Cross-Site-Request-Forgery-Angriffen. | Session (max. Gültigkeit während der Sitzung) |
| vdm_cookie_consent_v1 | First-Party (Local Storage / Cookie) | Speichert Ihre getroffene Auswahl im Datenschutz-Banner zur Einhaltung der DSGVO-Nachweispflicht. | Maximal 180 Tage |
Derartige Zugriffe auf Ihre Endeinrichtung erfolgen ausschließlich nach Ihrer vorherigen, ausdrücklichen, freiwilligen und informierten Einwilligung gemäß § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.
Standardmäßig sind alle optionalen Kategorien DEAKTIVIERT (Privacy by Default). Unser Consent-Banner verzichtet auf manipulative Dark Patterns: Die Schaltflächen „Alle akzeptieren“ und „Nur notwendige“ sind visuell absolut gleichwertig gestaltet.
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
Sie haben das uneingeschränkte Recht, eine einmal erteilte Einwilligung für Cookies und Datenverarbeitungen jederzeit mit Wirkung für die Zukunft zu widerrufen oder Ihre Einstellungen zu modifizieren. Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.
Sie können Ihre Einstellungen jederzeit über die Schaltfläche im Footer unserer Website oder direkt hier per Klick anpassen:
8. Kontaktformular, Anfragen & Datenbank-Speicherung
Wenn Sie über unser interaktives Kontaktformular unter /contact oder per E-Mail an eine unserer offiziellen E-Mail-Adressen (contact@varadigitalmedia.com, support@varadigitalmedia.com) mit uns in Verbindung treten, erheben und verarbeiten wir folgende Daten:
- Vor- und Nachname: Zur persönlichen Ansprache und Zuordnung.
- Geschäftliche E-Mail-Adresse: Zur Beantwortung und elektronischen Übermittlung von Angeboten.
- Projektart / Themengebiet: Zur internen Weiterleitung an die zuständige Fachabteilung.
- Nachrichteninhalt: Zur inhaltlichen Bearbeitung Ihres Anliegens.
- Unternehmen / Organisation: Zur besseren kaufmännischen Vorbereitung.
- Telefonnummer: Für eventuelle telefonische Rückfragen bei konkretem Wunsch.
- Budgetrahmen: Zur zielgerichteten architektonischen Machbarkeitsprüfung.
Rechtsgrundlagen der Verarbeitung:
- Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung & vorvertragliche Maßnahmen): Zielt Ihre Anfrage auf den Abschluss eines Entwicklungs-, Beratungs- oder Dienstleistungsvertrages mit Vara Digital Media ab, bildet Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage.
- Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Bei allgemeinen Anfragen besteht unser berechtigtes Interesse in einer professionellen, zügigen und zuverlässigen Beantwortung Ihres Anliegens.
Löschkonzept, Speicherdauer & Aufbewahrungspflichten
Die Anfragedaten werden in unserer gesicherten relationalen Datenbank (Tabelle contact_requests) abgelegt. Die Daten verbleiben dort, bis der Zweck für die Datenspeicherung entfällt (z. B. nach abschließender Klärung Ihres Anliegens).
Führt die Anfrage zu keinem Vertragsabschluss und entstehen keine weiteren geschäftlichen Beziehungen, greift unser automatisiertes Lösch- und Datenhygienekonzept: Die Daten werden nach Ablauf von 180 Tagen zur automatisierten Löschung vorgeschlagen und unwiderruflich aus der Datenbank entfernt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Sofern es sich bei der Korrespondenz um kaufmännische Geschäftsbriefe im Sinne von § 257 Abs. 1 Nr. 2 HGB handelt, beträgt die gesetzliche Aufbewahrungsfrist 6 Jahre; bei steuerlich relevanten Belegen nach § 147 Abs. 1 AO bis zu 10 Jahre.
9. E-Mail-Kommunikation, SMTP & Mailserver-Sicherheit
Die E-Mail-Infrastruktur von Vara Digital Media ist auf maximale Cyber-Resilienz und Abhörsicherheit ausgelegt:
- Transportverschlüsselung: Alle ein- und ausgehenden E-Mails werden über moderne Transport Layer Security (TLS 1.3 / TLS 1.2) mit Perfect Forward Secrecy (PFS) verschlüsselt übertragen.
- Authentifizierungsprotokolle: Wir erzwingen strikte DNS-Sicherheitseinträge wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance) unter der Domain
varadigitalmedia.com, um E-Mail-Spoofing und Phishing-Versuche in unserem Namen zu unterbinden. - MTA-STS & DANE: Zur Absicherung des Transportwegs gegen Man-in-the-Middle-Angriffe unterstützen wir moderne Verschlüsselungsrichtlinien nach RFC 8461.
Wir weisen darauf hin, dass die Datenübertragung im Internet bei unverschlüsselten Standard-E-Mails Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte kann bei unverschlüsselten E-Mails außerhalb unseres Einflussbereichs nicht garantiert werden. Für vertrauliche Projektinhalte empfehlen wir verschlüsselte Kommunikationswege.
10. Bewerbungsverfahren und Karriereportal (/careers)
Wir verarbeiten personenbezogene Daten von Bewerberinnen und Bewerbern zum Zwecke der Durchführung des Bewerbungsverfahrens und der Entscheidung über die Begründung eines Beschäftigungsverhältnisses bei Vara Digital Media:
Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer), Bewerbungsunterlagen (Anschreiben, Lebenslauf, Zeugnisse, Arbeitsproben, GitHub-/Portfolio-Links) sowie Kommunikationsprotokolle aus Vorstellungsgesprächen.
Rechtsgrundlage:§ 26 Abs. 1 BDSG i. V. m. Art. 6 Abs. 1 lit. b DSGVO (Verarbeitung für Zwecke des Beschäftigungsverhältnisses / vorvertragliche Maßnahmen). Sollten besondere Kategorien personenbezogener Daten (z. B. Angaben zu Schwerbehinderung gem. § 164 SGB IX) freiwillig mitgeteilt werden, erfolgt die Verarbeitung auf Grundlage von Art. 9 Abs. 2 lit. b DSGVO.
Empfängerkreis & Vertraulichkeit:Ihre Daten werden streng vertraulich behandelt. Zugriff haben ausschließlich die Geschäftsführung sowie die an der konkreten Stellenbesetzung beteiligten Teamleiter. Eine Weitergabe an Dritte oder konzernfremde Unternehmen erfolgt nicht.
Löschfrist:Im Falle einer Absage werden Ihre Bewerbungsdaten spätestens 6 Monate nach Zustellung des Absageschreibens unwiderruflich gelöscht. Diese Frist bemisst sich nach der Notwendigkeit der Rechtsverteidigung gegen etwaige Klagen nach dem Allgemeinen Gleichbehandlungsgesetz (§ 15 Abs. 4 AGG). Eine Speicherung über diesen Zeitraum hinaus (Aufnahme in den VDM Talent-Pool) erfolgt nur nach Ihrer vorherigen, gesonderten und ausdrücklichen schriftlichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO für maximal 12 bis 24 Monate.
11. E-Mail-Marketing & Newsletter-Architektur (Double-Opt-In)
Sofern auf unserer Webplattform die Möglichkeit zum Abonnieren von Fachbeiträgen, Whitepapern oder Newslettern angeboten wird, erfolgt die Registrierung ausschließlich nach dem gesetzlich vorgeschriebenen Double-Opt-In-Verfahren (DOI):
Widerruf & Abmeldung: Sie können Ihre Einwilligung zum Empfang von Newslettern jederzeit mit Wirkung für die Zukunft widerrufen. Hierzu genügt ein Klick auf den in jedem Mailing enthaltenen Abmelde-Link („One-Click Unsubscribe“) oder eine kurze formlose E-Mail an privacy@varadigitalmedia.com.
12. Zahlungsabwicklung & Vorbereitete Payment Gateways
Soweit im Rahmen künftiger Produkt- oder Dienstleistungsbestellungen eine Online-Zahlung abgewickelt wird, erfolgt die Übermittlung von Zahlungsdaten ausschließlich an nach internationalen Standards (PCI-DSS Level 1) zertifizierte Zahlungsdienstleister:
[RECHTLICH PRÜFEN: Konkret genutzte Zahlungsanbieter aufführen, sofern aktiviert, z. B. Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland oder PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg].
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Zahlungsvertrages) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Buchführungs- und Geldwäschepflichten). Auf unseren eigenen Servern werden zu keinem Zeitpunkt sensible Kreditkartennummern oder Bank-PINs gespeichert; die Abwicklung erfolgt über tokenisierte Schnittstellen der jeweiligen Zahlungsdienstleister.
13. Datenübermittlung in Drittländer (Drittstaatentransfer, Art. 44–49 DSGVO)
Im regulären Betriebsbetrieb dieser Webplattform findet keine Übermittlung personenbezogener Daten an Empfänger in Ländern außerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) („Drittländer“) statt. Sämtliche Server, Datenbanken und Backups werden in Deutschland gehostet.
Sollte in künftigen Ausnahmefällen eine Übermittlung in ein Drittland (insbesondere in die USA) erforderlich werden, erfolgt dies ausnahmslos unter strikter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO:
- Auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO (z. B. das EU-U.S. Data Privacy Framework für zertifizierte US-Empfänger), oder
- Auf Grundlage von EU-Standardvertragsklauseln (Standard Contractual Clauses – SCCs) nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit einem dokumentierten Transfer Impact Assessment (TIA) und zusätzlichen technischen Sicherheitsgarantien (z. B. Ende-zu-Ende-Verschlüsselung mit Schlüsselverwaltung in der EU), oder
- Auf Grundlage einer ausdrücklichen und informierten Einwilligung gemäß Art. 49 Abs. 1 lit. a DSGVO.
14. Ihre Rechte als betroffene Person (Art. 12–22 DSGVO)
Als betroffene Person garantiert Ihnen die DSGVO umfassende, durchsetzbare Rechte gegenüber der verantwortlichen Stelle:
Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die Daten in diesem Fall nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Werden personenbezogene Daten verarbeitet, um Direktwerbung zu betreiben, so haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Widersprechen Sie der Verarbeitung für Zwecke der Direktwerbung, so werden die personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.
Zur formlosen Ausübung Ihrer Rechte (Auskunft, Berichtigung, Löschung, Widerspruch etc.) genügt eine Nachricht an:
E-Mail: privacy@varadigitalmedia.com oder contact@varadigitalmedia.com.
Gemäß Art. 12 Abs. 3 DSGVO bearbeiten wir Ihr Anliegen unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang des Antrags. Zur Vorbeugung von Identitätsdiebstahl und unberechtigtem Datenabfluss durch unbefugte Dritte behalten wir uns vor, angemessene Maßnahmen zur Verifikation Ihrer Identität einzufordern (z. B. Bestätigungsanfrage an die anfragende E-Mail-Adresse).
15. Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO
Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen wir umfassende technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO:
1. Vertraulichkeit (Confidentiality)
- Physische Zutrittskontrolle: Unterbringung der Server in ISO/IEC 27001 zertifizierten Hochsicherheits-Rechenzentren mit Vereinzelungsschleusen, 24/7-Kameraüberwachung und elektronischem Schließsystem.
- Logische Zugangskontrolle: Administrativer Serverzugriff ausschließlich über kryptografische SSH-Key-Paare (ED25519) mit Passphrase; Passwort-Logins sind systemweit deaktiviert; striktes IP-Whitelisting.
- Zugriffskontrolle (RBAC): Granulares Rollen- und Berechtigungskonzept im internen Admin-Panel; Vergabe minimal notwendiger Rechte (Need-to-know- & Least-Privilege-Prinzip).
- Trennungskontrolle: Strikte logische und physische Trennung von Entwicklungs-, Staging- und Produktivsystemen sowie relationalen Tabellenstrukturen.
2. Integrität (Integrity)
- SQL-Injection-Prävention: Ausschließliche Nutzung von PDO Prepared Statements mit strikt typsicheren gebundenen Parametern; keine Roh-SQL-Verkettungen.
- XSS-Schutz: Kontextbezogene Maskierung aller dynamischen Variablen im Frontend via
htmlspecialchars(..., ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8'). - CSRF-Tokens: Kryptografische Einmal-Tokens mit 32 Byte Entropie für sämtliche formbasierten POST-Aktionen.
- Content Security Policy (CSP): Restriktive Header (
script-src 'self',style-src 'self',object-src 'none') verhindern das Einschleusen bösartiger Skripte.
3. Verfügbarkeit & Belastbarkeit
- Resilienz gegen Angriffe: Integriertes IP-Hash-basiertes Rate Limiting verhindert Brute-Force-Attacken und Formular-Spam.
- DDoS-Mitigation: Netzwerkseitige Filterung und Web Application Firewalling schützen die Plattform vor Überlastungsattacken.
- Backup-Konzept: Täglich automatisierte, verschlüsselte Datenbanksicherungen nach dem 3-2-1-Prinzip mit getrennter Georedundanz.
- Schnelle Wiederherstellbarkeit: Dokumentierte Desaster-Recovery-Routinen stellen die Verfügbarkeit bei Hardwareausfällen binnen definierter RTO/RPO-Fristen wieder her (Art. 32 Abs. 1 lit. c DSGVO).
4. Pseudonymisierung & Verschlüsselung
- Transportverschlüsselung: Erzwungene HTTPS-Kommunikation mit HSTS (Strict-Transport-Security, max-age 31536000), modernes TLS 1.3 mit Vorwärtsschwärzung (PFS).
- Passwortsicherheit: Hashing administrativer Zugangsdaten mit
PASSWORD_BCRYPTund hohem Rechenkosten-Arbeitsfaktor (Cost 12). - IP-Pseudonymisierung: IP-Adressen in Sicherheits- und Auditprotokollen werden als kryptografischer Einweg-Hash abgelegt.
- Geschützte Ablagestrukturen: Hochgeladene Dokumente liegen außerhalb des öffentlichen Document-Roots und sind vor direktem URL-Aufruf geschützt.
Regelmäßige Evaluierung & Revisionssicherheit (Art. 32 Abs. 1 lit. d DSGVO):
Wir betreiben ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit unserer technischen und organisatorischen Maßnahmen. Dies beinhaltet automatisierte Schwachstellen-Scans, statische Code-Analysen (SAST) sowie revisionssichere Protokollierung aller datenschutzrelevanten Vorgänge (wie Export oder Löschung von Datensätzen) in der Tabelle privacy_audit_log.
Incident-Management & Meldeprozesse (Art. 33, 34 DSGVO):
Für den Fall einer Verletzung des Schutzes personenbezogener Daten (Data Breach) existiert ein interner Notfall- und Meldeprozess. Bei Vorliegen eines Risikos für die Rechte und Freiheiten natürlicher Personen erfolgt die gesetzliche Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Ist ein hohes Risiko zu erwarten, werden die betroffenen Personen unverzüglich benachrichtigt (Art. 34 DSGVO).
16. Lösch- und Aufbewahrungsmatrix (Data Retention Schedule)
Zur Gewährleistung der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) gilt für unsere Webplattform folgende strukturierte Löschmatrix:
| Datenkategorie | Reguläre Speicherdauer | Rechtliche Grundlage der Frist | Lösch- / Anonymisierungsroutine |
|---|---|---|---|
| Server-Logfiles | 7 Tage | Art. 6 Abs. 1 lit. f DSGVO (Netzsicherheit) | Automatisierte rollierende Löschung durch Logrotate |
| Sitzungsdaten (PHPSESSID) | Bis zum Ende der Browser-Sitzung | § 25 Abs. 2 Nr. 2 TDDDG | Automatisches Verwerfen beim Schließen des Browsers |
| Consent-Speicherung | Maximal 180 Tage | Art. 7 Abs. 1 DSGVO (Nachweispflicht) | Automatischer Ablauf im Browser & Neuanfrage |
| Kontaktanfragen (ohne Vertrag) | 180 Tage nach Abschluss der Bearbeitung | Art. 5 Abs. 1 lit. e DSGVO (Zweckerfüllung) | Automatisiertes Lösch- / Anonymisierungssystem |
| Kaufmännische Geschäftsbriefe | 6 Jahre | § 257 Abs. 1 Nr. 2 & Abs. 4 HGB | Sperrung für regulären Zugriff, Löschung nach Fristablauf |
| Bewerberunterlagen (Absage) | Spätestens 6 Monate nach Absage | § 15 Abs. 4 AGG i. V. m. § 26 BDSG | Unwiderrufliche Vernichtung aller Dateien und Datensätze |
| Datenschutz-Audit-Log | Bis zu 3 Jahre | Art. 5 Abs. 2 DSGVO i. V. m. §§ 195, 199 BGB | Revisionssichere Archivierung zur Rechenschaftslegung |
17. Aktualität und Änderung dieser Datenschutzerklärung
Durch die kontinuierliche technische Weiterentwicklung unserer Webplattform, die Integration neuer Services oder aufgrund geänderter gesetzlicher Bestimmungen (z. B. Novellierungen des BDSG, TDDDG oder DDG) sowie behördlicher Vorgaben kann es erforderlich werden, diese Datenschutzerklärung anzupassen.
Die jeweils aktuelle Fassung dieser Datenschutzerklärung kann jederzeit unter https://varadigitalmedia.com/datenschutz eingesehen, gespeichert und ausgedruckt werden.