Datenschutzerklärung

Einheitliche Datenschutzhinweise für Website, Geschäftskontakte, E-Mail-Kommunikation und IT-Support
Michael Märkl & Markus Winterer GbR · mediamountain
Stand: 23. Oktober 2026

Diese Hinweise erläutern, wie wir personenbezogene Daten bei der Nutzung von mediamountain.net, bei Anfragen und in der Zusammenarbeit mit unseren Kunden verarbeiten. Sie gelten auch für Personen, die uns per E-Mail oder Telefon kontaktieren, für Ansprechpartner und Beschäftigte unserer Geschäftskunden sowie für den Support über unsere WhatsApp-Kundencommunity. Die Seite kann als zentraler Datenschutzhinweis in geschäftlichen E-Mails verlinkt werden.

1. Verantwortlicher und Datenschutzkontakt

Michael Märkl & Markus Winterer GbR (mediamountain)
Rott 11 · 84564 Oberbergkirchen · Deutschland
Vertreten durch Michael Märkl und Markus Winterer
Telefon: +49 (0)8745 62 35 708
Telefax: +49 (0)8745 62 35 712
E-Mail: info@mediamountain.net

Bitte richte Fragen zur Verarbeitung deiner Daten und Anträge zur Ausübung deiner Rechte an diese Kontaktdaten.

2. Für welche Daten wir verantwortlich sind

Für unsere Website, die Bearbeitung von Anfragen, unsere eigene Kundenkommunikation und die Organisation unserer Geschäftsbeziehungen bestimmen wir die Zwecke der Verarbeitung und sind insoweit Verantwortliche.

Davon zu unterscheiden ist unsere Arbeit als Auftragsverarbeiter für Geschäftskunden: Bei Wartung, Administration oder Fernzugriff können wir personenbezogene Daten verarbeiten, für die der jeweilige Kunde verantwortlich bleibt. Diese Tätigkeiten richten sich nach dem jeweiligen Auftrag, dokumentierten Weisungen und der vereinbarten Auftragsverarbeitung nach Art. 28 DSGVO. Unsere öffentliche Datenschutzerklärung ersetzt diese Vereinbarung nicht.

Bei Informationen über Beschäftigte oder weitere Personen, die uns ein Kunde übermittelt, stammen die Daten gegebenenfalls vom Arbeitgeber, einem zuständigen Ansprechpartner oder aus den zur Bearbeitung freigegebenen Kundensystemen. Welche Rolle wir einnehmen, richtet sich nach dem konkreten Verarbeitungsvorgang.

3. Datenkategorien, Zwecke und Rechtsgrundlagen

Je nach Kontakt und Auftrag verarbeiten wir insbesondere:

Kontakt- und Stammdaten: Name, geschäftliche Funktion, Unternehmen, Anschrift, E-Mail-Adresse und Telefonnummer;
Kommunikationsdaten: Nachrichten, Betreff, Anhänge und Angaben zur Kontaktaufnahme;
Auftrags- und Leistungsdaten: Anfrage, gewünschte Leistung, betroffene Geräte und Systeme, Fehlerbeschreibungen sowie erforderliche Bearbeitungsinformationen;
Technische Daten: IP-Adresse, Browser- und Gerätedaten, angeforderte Ressourcen sowie je nach Dienst Verbindungs- und Protokolldaten;
Zugangs- und Berechtigungsdaten: Benutzerkennungen, überlassene Passwörter und administrative Berechtigungen, soweit für den beauftragten IT-Service erforderlich;
Daten aus Kundensystemen: insbesondere Nutzerkontaktdaten und gegebenenfalls weitere personenbezogene Inhalte, auf die wir im Rahmen eines freigegebenen Auftrags zugreifen.

Die Rechtsgrundlage hängt vom Zweck ab:

Art. 6 Abs. 1 lit. b DSGVO: Anbahnung und Durchführung eines Vertrags mit der betroffenen Person;
Art. 6 Abs. 1 lit. f DSGVO: Beantwortung sonstiger Anfragen, Kommunikation mit Ansprechpartnern von Geschäftskunden, Organisation und Absicherung unseres Betriebs sowie Schutz vor Missbrauch. Unsere Interessen liegen in verlässlicher Kommunikation, ordnungsgemäßer Leistungserbringung und sicherem Betrieb;
Art. 6 Abs. 1 lit. c DSGVO: Erfüllung gesetzlicher Pflichten, insbesondere soweit handels- oder steuerrechtliche Aufbewahrungspflichten bestehen;
Art. 6 Abs. 1 lit. a DSGVO: Verarbeitung aufgrund einer tatsächlich erteilten Einwilligung. Einwilligungen können für die Zukunft widerrufen werden.

Bei weisungsgebundener Auftragsverarbeitung bestimmt der Auftraggeber die Rechtsgrundlage für die Daten seiner betroffenen Personen. Art. 28 DSGVO regelt das Auftragsverhältnis und ist nicht selbst die Rechtsgrundlage einer beliebigen Datenerhebung.

4. Website, Hosting und Domainverwaltung

Lovable und Lovable Cloud

Die migrierte Website wird über Lovable bereitgestellt. Angaben aus den Websiteformularen werden in Lovable Cloud gespeichert. Zur Bereitstellung können Infrastruktur- und Auslieferungsdienste des Plattformanbieters eingesetzt werden.

Beim Websiteaufruf werden technische Zugriffsdaten verarbeitet, insbesondere IP-Adresse und angeforderte Ressourcen. Je nach Konfiguration gehören Datum und Uhrzeit, Browserinformationen, Referrer sowie Sicherheits- und Fehlerprotokolle dazu. Zweck ist die sichere, funktionsfähige Bereitstellung unserer Website; hierfür kommt Art. 6 Abs. 1 lit. f DSGVO zur Anwendung. Konkrete Protokollfristen und Verarbeitungsorte sind mit der aktuellen Anbieterkonfiguration abzugleichen.

Für Verarbeitung in unserem Auftrag ist eine Vereinbarung nach Art. 28 DSGVO erforderlich. Der Vertrag und die einbezogenen Dienste müssen die tatsächlichen Verarbeitungsvorgänge abdecken; konkrete Datenregionen und Aufbewahrungsfristen ergeben sich aus den vereinbarten Anbieterunterlagen und Einstellungen. Anbieterunterlagen: Lovable-Auftragsverarbeitung und Unterauftragsverarbeiter.

GoDaddy: Domainregistrierung und DNS

GoDaddy stellt die Registrierung und DNS-Verwaltung unserer Domain bereit; GoDaddy hostet nicht diese migrierte Website. DNS sorgt für die technische Zuordnung der Internetadresse. Dabei können Registrierungs- und Verwaltungskontaktdaten sowie technische DNS-Anfragedaten verarbeitet werden. Welche Daten bei einer konkreten DNS-Auflösung anfallen, hängt auch vom verwendeten DNS-Resolver ab.

Die Websiteformulare werden nicht aufgrund der Domainregistrierung bei GoDaddy gespeichert. Zwecke der Domainverwaltung sind die Bereitstellung und Verwaltung unserer Internetadresse; soweit personenbezogene Daten betroffen sind, kommt insbesondere Art. 6 Abs. 1 lit. f DSGVO in Betracht. Informationen zu Vertragspartner, Verarbeitung und Verarbeitungsorten ergeben sich aus den geltenden GoDaddy-Unterlagen: GoDaddy-Datenschutz.

5. Cookies, Schriftarten und externe Ressourcen

Unsere eigene Websiteanwendung setzt keine Analyse- oder Werbetracker ein. Die verwendeten Schriftarten werden unter lokalen Websitepfaden geladen; es werden keine Google-Fonts-Abfragen ausgelöst.

Die Anwendung merkt sich für die laufende Sitzung die Scroll-Position, damit die vorherige Ansicht beim Zurückblättern wiederhergestellt werden kann. Externe Dienste können eigene Cookies, vergleichbare Speicherungen oder sonstige Zugriffe auf das Endgerät verwenden. Für nicht unbedingt notwendige Speicherungen und Zugriffe ist grundsätzlich eine vorherige Einwilligung nach § 25 TDDDG erforderlich; die datenschutzrechtliche Bewertung einer anschließenden Verarbeitung erfolgt gesondert nach der DSGVO.

Das Behold-Widget auf der Startseite und Google Maps auf der Kontaktseite laden derzeit automatisch, ohne vorherige Einwilligungsabfrage. Eine Datenschutzerklärung ersetzt keine rechtlich erforderliche Einwilligung. Die automatische Einbindung beruht auf einer Entscheidung des Betreibers, nicht auf einer Einwilligung der Besucher. Soweit nicht notwendige Endgerätezugriffe stattfinden, ist die fehlende vorherige Einwilligung nicht durch diese Hinweise oder die Betreiberentscheidung ersetzt. Eine umfassende Aussage, dass alle eingebundenen Dienste cookie- oder trackingfrei seien, wird nicht getroffen.

6. Websiteformulare und Merch-Anfragen

Bei Kontakt- und Merch-Anfragen verarbeiten wir die angegebenen Namen, E-Mail-Adresse, gegebenenfalls Telefonnummer sowie Nachricht und gewünschte Artikel beziehungsweise Stückzahl. Pflichtfelder sind gekennzeichnet; die Telefonnummer ist freiwillig. Ohne notwendige Angaben kann das jeweilige Formular nicht versendet werden. Alternativ kannst du uns telefonisch oder per E-Mail erreichen.

Die Übertragung erfolgt verschlüsselt. Die Anfrage wird mit Eingangszeitpunkt in einer zugriffsgeschützten Datenbank gespeichert. Danach wird eine Benachrichtigung an unser Postfach und eine Eingangsbestätigung an die angegebene E-Mail-Adresse versendet. Für den Versand werden Mailinhalt und Adressierungsdaten über Lovables Vermittlungsdienst für die Microsoft-Outlook-Anbindung an unser Microsoft365-Exchange-Postfach übermittelt. Die Benachrichtigung an uns enthält die Anfrage; die Eingangsbestätigung an die ungeprüfte E-Mail-Adresse enthält keine eingetippten Namen, Betreffzeilen, Nachrichtentexte oder Merch-Details. Es entstehen zusätzliche Postfachkopien, einschließlich gesendeter Nachrichten. Scheitert die Mailzustellung, bleibt die gespeicherte Anfrage erhalten.

Rechtsgrundlagen sind je nach Anfrage Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Das Datenschutzhäkchen bestätigt die Kenntnisnahme dieser Hinweise und ist keine pauschale Einwilligung in weitere Verarbeitungen.

Ein nicht sichtbares Prüffeld und Plausibilitäts- beziehungsweise Häufigkeitsprüfungen dienen dem Schutz vor Spam und Missbrauch auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Es werden dafür keine externen CAPTCHA-Dienste eingebunden.

7. E-Mail, Telefon und geschäftliche Kommunikation

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir Kontaktdaten und die zur Bearbeitung erforderlichen Inhalte. Dazu können übermittelte Dokumente, Angaben zu technischen Problemen und Daten weiterer Ansprechpartner gehören. Wir verwenden diese Informationen für die Kommunikation, Bearbeitung von Anfragen und Organisation unserer Leistungen.

Unsere E-Mails verwalten wir über Microsoft365 Exchange Online (Postfächer, Versand und Empfang, Outlook als Programm). Microsoft verarbeitet im Rahmen des jeweiligen Dienstes Nachrichteninhalte, Adressierungs- und technische Betriebsdaten. Maßgeblich sind die vereinbarten Microsoft-Datenschutzbedingungen und gegebenenfalls die Auftragsverarbeitung. Anbieterinformationen: Microsoft-Datenschutzbestimmungen und Microsoft-Datenschutzvereinbarung für Produkte und Dienste.

Art. 6 Abs. 1 lit. b DSGVO gilt für Kommunikation zu deinem eigenen Vertragsverhältnis. Für die Kommunikation mit Mitarbeitern unserer Geschäftskunden und sonstige Anfragen kommt Art. 6 Abs. 1 lit. f DSGVO zur Anwendung. Gesetzlich aufzubewahrende Geschäftskorrespondenz wird auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO vorgehalten.

Bitte übermittle nur die für das Anliegen erforderlichen Informationen. Sende Passwörter, Wiederherstellungscodes oder besonders vertrauliche Inhalte nicht unaufgefordert über gewöhnliche E-Mails oder Gruppenchats. Vereinbare mit uns einen geeigneten Übermittlungsweg. Transportverschlüsselung einer Verbindung bedeutet nicht automatisch Ende-zu-Ende-Verschlüsselung sämtlicher Nachrichten oder gespeicherter Kopien.

8. WhatsApp-Kundencommunity und Supportgruppen

Wir nutzen eine WhatsApp-Community mit einer eigenen Supportgruppe je Kunde. In der jeweiligen Gruppe können Beschäftigte dieses Kunden Probleme melden und mit uns den Support abstimmen. Unsere verbindliche Vorgabe ist eine getrennte, für andere Kunden nicht sichtbare Gruppe; vor Aufnahme neuer Teilnehmer ist die tatsächliche Sichtbarkeit zu kontrollieren. Ist diese Trennung mit der verwendeten App nicht wirksam möglich, darf die Kundengruppe nicht in der gemeinsamen Community betrieben werden. Das ist keine Zusicherung anonymer Teilnahme oder unsichtbarer Telefonnummern innerhalb der jeweiligen Gruppe.

Bei dieser Kommunikation können Telefonnummer, Profilname und gegebenenfalls Profilbild, Gruppenzugehörigkeit, Nachrichten, Anhänge und technische Kommunikationsdaten verarbeitet werden. Inhalte und Teilnehmerangaben können für Administratoren und Mitglieder der jeweiligen Gruppe sichtbar sein. Die konkrete Sichtbarkeit hängt von WhatsApps Funktionen, Rollen und Einstellungen ab. Eine Ende-zu-Ende-Verschlüsselung verhindert nicht, dass berechtigte Gruppenmitglieder Inhalte lesen, speichern oder weitergeben.

Zweck unserer Verarbeitung ist die Bearbeitung und Abstimmung von Supportanfragen. Für die freiwillige Teilnahme und die damit verbundene Offenlegung von Teilnehmerdaten in der Supportgruppe sieht unsere Richtlinie eine vorherige, informierte und dokumentierte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO vor. Eine bloße Kundeneinladung oder Zustimmung des Arbeitgebers ersetzt diese Entscheidung nicht. Beschäftigte dürfen durch eine Ablehnung keine Nachteile haben. Die Bearbeitung eines konkreten Auftrags außerhalb der freiwilligen Gruppenteilnahme kann je nach Fall auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO beruhen. Telefonnummern und Namen können uns von den Teilnehmern selbst oder vom jeweiligen Kunden übermittelt werden; für eine Einladung dürfen nur rechtmäßig überlassene Daten verwendet werden.

WhatsApp verarbeitet Daten außerdem nach seinen eigenen Bedingungen. Für Nutzer im Europäischen Wirtschaftsraum ist der Dienstanbieter WhatsApp Ireland Limited. Anbieterinformationen: WhatsApp-Datenschutzrichtlinie. Welche zusätzlichen Bedingungen für die konkret eingesetzte App beziehungsweise Business-Lösung gelten, ist noch abzugleichen; siehe gegebenenfalls Business-Datenverarbeitungsbedingungen.

Du kannst Support auch per E-Mail oder Telefon anfragen und eine Gruppe verlassen. Ein Austritt entfernt nicht automatisch vorhandene Nachrichten aus Geräten oder Sicherungen anderer Mitglieder. Bitte sende keine Passwörter, Wiederherstellungscodes, vollständigen Kundendatenbestände oder besonders sensiblen Informationen in die Gruppe. Die separate Organisation pro Kunde ist keine technische Garantie gegen versehentliche Weitergabe.

Verbindliche Einstellungen und organisatorische Vorgaben

Aufnahme nur nach Prüfung der Kundenzugehörigkeit und Freigabe durch zuständige Administratoren; soweit verfügbar Beitrittsfreigabe aktivieren. Einladungslinks nicht öffentlich teilen und bei Missbrauch erneuern.
Administratorenrechte auf die erforderlichen Personen beschränken; Mitgliedschaften und Berechtigungen monatlich prüfen. Bekannt gewordene ausgeschiedene Beschäftigte unverzüglich entfernen.
Geschäftliches Gerät beziehungsweise getrenntes geschäftliches Profil mit Gerätesperre, aktueller Software und Zwei-Schritt-Verifizierung verwenden. Kein unkontrollierter Kontaktabgleich des privaten oder gesamten Kundenadressbuchs.
Für neue Nachrichten eine Ablaufzeit von 90 Tagen einstellen, soweit die verwendete App dies ermöglicht. Notwendige Supportnachweise zuvor in die geschäftliche Ablage übernehmen. Alte Nachrichten, gespeicherte Medien und fremde Kopien werden durch diese Einstellung nicht zuverlässig gelöscht.
Unverschlüsselte Chat-Cloudsicherungen deaktivieren; erforderliche Sicherungen nur mit geprüfter Ende-zu-Ende-Verschlüsselung und begrenzter Aufbewahrung.
Vor Aufnahme über die gruppeninterne Sichtbarkeit, freiwillige Teilnahme, gleichwertigen Support per Telefon/E-Mail und die Möglichkeit eines jederzeitigen Widerrufs informieren.

Diese Punkte sind vom Betreiber übernommene Vorgaben, keine Bestätigung bereits vorgenommener WhatsApp-Einstellungen. Die konkret eingesetzte App, deren Eignung, Datenverarbeitungsbedingungen und Übermittlungsgrundlagen sind vor produktiver Nutzung abzugleichen. Eine Einwilligung heilt nicht automatisch andere unzulässige Verarbeitungen.

9. IT-Service, Zugangsdaten und Auftragsverarbeitung

Wartung und Administration

Unsere Aufträge können insbesondere Benutzerverwaltung auf Server- oder Anwendungsebene, Einrichtung, Änderung und Entzug von Berechtigungen, erforderliche Datenbankarbeiten und Fernwartung umfassen. Dabei können wir auf Nutzerkontaktdaten sowie weitere im jeweiligen Kundensystem vorhandene personenbezogene Daten zugreifen. Betroffen können Beschäftigte, Kunden und weitere Personen des Auftraggebers sein.

Soweit wir diese Daten weisungsgebunden im Auftrag verarbeiten, bleibt der Kunde Verantwortlicher. Umfang und Dauer richten sich nach Hauptvertrag, Auftragsverarbeitungsvereinbarung und ergänzenden Weisungen. Eigene Kontakt-, Abrechnungs- und Organisationsdaten verarbeiten wir dagegen in eigener Verantwortung.

Kundenzugangsdaten und Passwörter

Überlassene Benutzerkennungen, Passwörter und Berechtigungen dienen ausschließlich der Durchführung des jeweils freigegebenen IT-Auftrags. Personenbezogene Zugangsdaten unterliegen dem Datenschutz; auch nicht personenbezogene technische Geheimnisse bedürfen eines angemessenen Schutzes.

Der bereitgestellte Vertrag zur Auftragsverarbeitung sieht insbesondere folgende Verpflichtungen vor:

verschlüsselte Speicherung überlassener beziehungsweise für Kundensysteme verwendeter Passwörter;
Zugriff nur durch konkret beauftragte Beschäftigte, die die Daten für den jeweiligen Auftrag benötigen;
Vertraulichkeit und getrennte Verarbeitung der Daten verschiedener Kunden;
verschlüsselte Fernverbindungen und geeignete Kontrolle der Fernwartungsarbeiten durch den Auftraggeber;
Rückgabe und anschließende dokumentierte Löschung auftragsbezogener Daten einschließlich Sicherungen nach Vertragsende nach Maßgabe der Vereinbarung und geltender gesetzlicher Anforderungen;
Unterauftragnehmer nur nach vereinbarter Zustimmung und mit entsprechenden Datenschutzpflichten.

Verbindlicher Ablauf für Zugangsdaten

Zusätzlich hat der Betreiber folgende Sicherheitsvorgaben übernommen:

Übergabe nur über einen abgestimmten verschlüsselten Austauschkanal mit möglichst zeitlich begrenzter Freigabe, nicht über gewöhnliche E-Mail oder WhatsApp.
Speicherung ausschließlich in einem geeigneten verschlüsselten Passworttresor, getrennt nach Kunden und mit Zugriff nur für konkret beauftragte Personen. Mehrfaktor-Authentifizierung für den Tresor und administrative Konten verwenden, soweit verfügbar; keine Klartextablage in Nachrichten, Tickets oder Dokumenten.
Individuelle, möglichst befristete Supportkonten und minimale Berechtigungen bevorzugen. Freigaben und sicherheitsrelevante Zugriffe nachvollziehbar dokumentieren, ohne Passwörter in Protokolle zu übernehmen.
Lange, zufällige und je Konto eindeutige Passwörter einsetzen; betrieblicher Zielwert mindestens 16 Zeichen, soweit das System dies unterstützt. Technische Einschränkungen und ergänzende Schutzmaßnahmen dokumentieren.
Kein pauschaler regelmäßiger Passwortwechsel ohne Anlass. Bei Verdacht auf Offenlegung, Kompromittierung oder erforderlichem Entzug eines geteilten Zugangs unverzüglich einen Wechsel beziehungsweise eine Sperrung veranlassen. Einmalige Supportzugänge nach Nutzung mit dem Kunden sperren oder ändern.
Bei Auftragsende Zugriffsrechte unverzüglich entziehen und Zugangsdaten nach Kundenweisung und AV-Vertrag zurückgeben oder dokumentiert löschen. Aufbewahrungspflichten für Rechnungen rechtfertigen keine Speicherung von Passwörtern.

Dies sind unsere betrieblichen und vertraglichen Schutzvorgaben; einzelne Kundenzugänge werden nicht veröffentlicht. Eine bestehende vertragliche Pflicht zum Passwortwechsel alle 90 Tage wird hierdurch nicht aufgehoben: Änderungen eines unterschriebenen Vertrags sind mit dem jeweiligen Kunden zu vereinbaren.

Bei Auskunfts-, Berichtigungs- oder Löschanliegen zu Daten in Kundensystemen ist grundsätzlich der betreffende Auftraggeber zuständig. Wir unterstützen ihn entsprechend den vertraglichen und gesetzlichen Anforderungen; an uns gerichtete Anliegen werden im erforderlichen Umfang zugeordnet beziehungsweise weitergeleitet.

10. Fernwartung und TeamViewer

Auf unserer Support-Seite verlinken wir das TeamViewer-QuickSupport-Modul. Beim Öffnen des Downloadlinks verlässt du unsere Website. TeamViewer kann bereits beim Seitenaufruf technische Zugriffsdaten verarbeiten.

Während einer freigegebenen Fernwartung können Bildschirmdarstellung, Verbindungsinformationen sowie die für die Bearbeitung zugänglich gemachten System- und Inhaltsdaten verarbeitet werden. Maßgeblich ist der konkrete Auftrag. Bei Arbeiten in Kundensystemen gelten zusätzlich die Weisungen und Auftragsverarbeitungsvereinbarung. Die vertraglichen Vorgaben sehen eine wirksame Kontrolle der Fernwartungsarbeiten durch den Auftraggeber vor.

Die Verarbeitung eigener Support- und Organisationsdaten richtet sich je nach Fall nach Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Die Verarbeitung von Kundensystemdaten erfolgt gegebenenfalls als Auftragsverarbeitung. Informationen zu TeamViewers eigener Verarbeitung: TeamViewer-Datenschutzerklärung.

11. Instagram, Behold, Facebook und Google Maps

Instagram-Feed über Behold

Unter „Aktuelles“ werden eigene Instagram-Beiträge über ein Behold-Widget angezeigt. Das Widget und zugehörige Inhalte werden automatisch beim Aufruf der Startseite geladen. Dabei entstehen Verbindungen zu Behold und seinen Auslieferungsdiensten; insbesondere IP-Adresse und technische Zugriffsdaten werden übertragen. Beim Öffnen von Beiträgen oder Videos können weitere Verbindungen zu Instagram entstehen.

Zweck ist die Anzeige unserer aktuellen Unternehmensbeiträge. Unser Interesse ist die Darstellung eigener Unternehmensbeiträge. Art. 6 Abs. 1 lit. f DSGVO kommt nur bei einer tragfähigen Interessenabwägung in Betracht; eine nach § 25 TDDDG erforderliche vorherige Einwilligung wird dadurch nicht ersetzt. Anbieterinformationen: Behold-Datenschutzerklärung.

Profilverlinkungen und Social-Media-Auftritte

Zusätzlich verlinken wir unsere Profile bei Facebook und Instagram (Meta Platforms Ireland Limited) sowie unser Google-Unternehmensprofil. Diese einfachen Links lösen bei bloßer Anzeige keine Profilaufrufe aus; davon zu unterscheiden ist das automatisch ladende Behold-Widget. Beim Folgen eines Links gelten die Datenschutzinformationen des jeweiligen Dienstes.

Für „Seiten-Insights“ unserer Facebook-Seite besteht im betreffenden Umfang gemeinsame Verantwortlichkeit mit Meta nach Art. 26 DSGVO. Informationen: Seiten-Insights-Ergänzung. Dies betrifft nicht pauschal sämtliche Verarbeitung durch Meta.

Google Maps

Die Kontaktseite enthält eine Google-Maps-Karte, die direkt beim Aufruf geladen wird. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden insbesondere IP-Adresse und technische Zugriffsdaten an Google übermittelt; Google kann Cookies oder vergleichbare Verfahren verwenden und Daten in Drittländern verarbeiten.

Zweck ist die Darstellung unseres Standorts. Eine Einwilligungsabfrage ist aktuell nicht vorgeschaltet. Eine Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO setzt eine tragfähige Interessenabwägung voraus. Soweit Google nicht notwendige Endgerätezugriffe vornimmt, ist eine vorherige Einwilligung nach § 25 TDDDG erforderlich; diese wird derzeit nicht eingeholt. Der Verweis auf unsere schriftliche Adresse verhindert nicht die Übertragung, wenn die Kontaktseite bereits aufgerufen wurde. Der externe Routenplaner wird zusätzlich durch Öffnen des Links aufgerufen. Anbieterinformationen: Google-Datenschutzerklärung.

12. Empfänger, Dienstleister und Drittlandverarbeitung

Daten erhalten nur Personen und Stellen, soweit dies für den jeweiligen Zweck erforderlich und rechtlich zulässig ist. Dazu gehören insbesondere:

die für Anfragen und Aufträge zuständigen Personen bei mediamountain;
bei Support die zuständigen Ansprechpartner des Kunden und gegebenenfalls Mitglieder seiner jeweiligen Supportgruppe;
eingesetzte IT-, Hosting-, Kommunikations- und Auslieferungsdienstleister, insbesondere die oben beschriebenen Anbieter;
Behörden oder sonstige berechtigte Stellen, soweit eine gesetzliche Verpflichtung besteht.

Auftragsverarbeiter werden auf Grundlage der erforderlichen Vereinbarungen nach Art. 28 DSGVO eingesetzt. Anbieter können daneben für bestimmte eigene Zwecke Verantwortliche sein. Zusätzliche Unterauftragnehmer für Kundensystemdaten bedürfen der im jeweiligen Kundenvertrag vorgesehenen Freigabe.

Bei international tätigen Anbietern können Verarbeitungen oder Zugriffe außerhalb der EU beziehungsweise des EWR stattfinden. Zulässige Übermittlungen benötigen eine Grundlage nach Art. 44 ff. DSGVO, etwa einen einschlägigen Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln mit gegebenenfalls ergänzenden Maßnahmen. Eine Zertifizierung oder eine bestimmte Datenregion wird nicht pauschal für sämtliche Anbieter zugesichert. Informationen zu den konkreten Empfängern, Ländern und Transfergrundlagen erhältst du auf Anfrage bei uns.

13. Speicherdauer, Rückgabe und Löschung

Wir unterscheiden eigene Kommunikations- und Geschäftsdaten von Daten, die wir für Kunden im Auftrag verarbeiten:

Unverbindliche Anfragen ohne Vertrag: Löschung spätestens sechs Monate nach Abschluss der Bearbeitung, sofern keine konkret dokumentierte gesetzliche Pflicht oder erforderliche Rechtsverteidigung entgegensteht. Das umfasst nicht aufbewahrungspflichtige Postfachkopien.
Zusätzliche Websiteformularzeilen: Nach gesicherter Übernahme der zur Bearbeitung erforderlichen Angaben in die geschäftliche Ablage löschen, spätestens 90 Tage nach Eingang der Anfrage. Die Übernahme und Löschkontrolle müssen rechtzeitig vor Fristablauf erfolgen. Unbearbeitete Anfragen werden zur Bearbeitung vorgelegt, nicht ungeprüft gelöscht. Notwendige Geschäftsdokumente werden getrennt nach den folgenden Regeln aufbewahrt. Eine automatische zeitgesteuerte Löschung ist nicht eingerichtet; die Richtlinie sieht eine monatliche manuelle Kontrolle vor.
Nicht aufbewahrungspflichtige Supportkommunikation: Löschung spätestens sechs Monate nach Abschluss des Vorgangs. Für noch aktive Aufträge erforderliche Daten werden nur solange benötigt aufbewahrt; Erforderlichkeit monatlich prüfen. Für neue WhatsApp-Nachrichten ist zusätzlich eine Ablaufzeit von 90 Tagen vorgesehen, soweit verfügbar; erforderliche Nachweise werden zuvor in die geschäftliche Ablage übernommen.
Erforderliche Nachweise für Ansprüche: Nur soweit konkret notwendig, regelmäßig bis zum Ablauf der einschlägigen Verjährung. Die regelmäßige Verjährung beträgt drei Jahre (§ 195 BGB) und beginnt unter den Voraussetzungen des § 199 BGB mit Ablauf des betreffenden Kalenderjahres; besondere Fristen, Hemmung und laufende Verfahren können eine andere Dauer erfordern. Nicht jede Nachricht wird pauschal zu diesem Zweck archiviert.
Gesetzlich aufzubewahrende Unterlagen: Soweit anwendbar insbesondere sechs Jahre für Handels-/Geschäftsbriefe, acht Jahre für Buchungsbelege und zehn Jahre für Bücher, Inventare und Jahresabschlüsse (§ 147 AO, § 257 HGB). Die Frist beginnt grundsätzlich mit Ablauf des für die jeweilige Unterlage maßgeblichen Kalenderjahres. Gesetzliche Verlängerungen, Übergangs- und Sonderregeln bleiben vorbehalten. Nicht jede E-Mail ist aufbewahrungspflichtig; Zugangsdaten gehören nicht in ein Belegarchiv.
Auftragsbezogene Kundensystemdaten und Zugangsdaten: Dauer entsprechend Auftrag und Weisungen. Nach Auftragsende Rückgabe oder Löschung gemäß Kundenwahl und AV-Vertrag einschließlich vereinbarter Sicherungsbehandlung; Zugriffsrechte unverzüglich entziehen. Keine pauschale Nachlaufzeit für Passwörter. Strengere Kundenweisungen und vertragliche Fristen gehen vor.
Eigene technische Standardprotokolle: Betrieblicher Zielwert höchstens 30 Tage; bei konkreten Sicherheitsvorfällen gesonderte, zweckgebundene Aufbewahrung nur solange erforderlich. Für Protokolle unserer Hostinganbieter gelten deren eigene Fristen.
Eigene rotierende Betriebssicherungen: Zielwert höchstens 30 Tage, soweit mit den Kundenvereinbarungen vereinbar. Gelöschte Daten sind bis zum Auslaufen einer Sicherung dem regulären Zugriff entzogen; bei Wiederherstellung sind Löschungen erneut anzuwenden. Strengere Rückgabe-/Löschpflichten aus Kundenaufträgen erfordern gegebenenfalls ein angepasstes Sicherungskonzept.

Die Fristen für nicht gesetzlich geregelte Daten sind vom Betreiber übernommene betriebliche Höchstfristen, keine allgemeinen gesetzlichen Mindestfristen. Entfällt der Zweck früher und fehlt eine andere Rechtsgrundlage, sind die Daten früher zu löschen. Ausnahmen werden mit Grund und Prüftermin dokumentiert, der Zugriff wird soweit erforderlich beschränkt. Die Gesellschafter sind für die monatliche Kontrolle in Formularablage, Postfächern und eigenen Supportablagen sowie die tatsächliche Einrichtung bei externen Diensten verantwortlich.

Nachrichten in WhatsApp-Gruppen können unabhängig von unserer eigenen Ablage auf Geräten anderer Teilnehmer vorhanden bleiben. Anbieter haben eigene Aufbewahrungsregeln für Verarbeitungen in ihrer Verantwortung.

14. Datensicherheit und Vertraulichkeit

Die Website verwendet HTTPS für verschlüsselte Übertragung. Im IT-Kundenservice richten sich technische und organisatorische Schutzmaßnahmen nach Art. 32 DSGVO und den jeweiligen Vereinbarungen. Dazu gehören nach dem bereitgestellten Vertrag insbesondere Zugangsbeschränkungen, Verschlüsselung, Vertraulichkeit, Kundentrennung, Sicherungen und Überprüfung der Schutzmaßnahmen.

Eine vollständige Sicherheit jeder Übertragung oder jedes externen Dienstes kann nicht garantiert werden. Wenn du eine mögliche Datenschutzverletzung oder einen kompromittierten Zugang bemerkst, informiere uns möglichst umgehend über die oben genannten Kontaktdaten. Bei Auftragsverarbeitung unterstützen wir den Kunden bei seinen gesetzlichen Pflichten und melden ihm relevante Vorfälle entsprechend den vertraglichen Vorgaben.

15. Deine Rechte und Beschwerdemöglichkeiten

Unter den gesetzlichen Voraussetzungen stehen dir folgende Rechte zu:

Auskunft über die Verarbeitung deiner Daten (Art. 15 DSGVO);
Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
Löschung, soweit keine gesetzlichen Ausnahmen entgegenstehen (Art. 17 DSGVO);
Einschränkung der Verarbeitung (Art. 18 DSGVO);
Datenübertragbarkeit, soweit die Voraussetzungen erfüllt sind (Art. 20 DSGVO);
Widerruf einer Einwilligung für die Zukunft, ohne Auswirkung auf die vorherige Rechtmäßigkeit (Art. 7 Abs. 3 DSGVO).

Widerspruch: Gegen Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, Widerspruch einlegen (Art. 21 DSGVO). Gegen Verarbeitung für Direktwerbung besteht ein jederzeitiges Widerspruchsrecht, ohne Angabe besonderer Gründe.

Für eigene Verarbeitungen kannst du dich an uns wenden. Für Daten, die wir ausschließlich als Auftragsverarbeiter verwalten, ist der jeweilige Auftraggeber zuständig; wir unterstützen die Zuordnung deines Anliegens. Zur Vermeidung unbefugter Offenlegung kann eine angemessene Identitätsprüfung erforderlich sein. Wir beantworten Anträge nach den gesetzlichen Vorgaben, grundsätzlich innerhalb eines Monats; zulässige Verlängerungen werden mitgeteilt.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. In Bayern ist für nichtöffentliche Stellen insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, zuständig.

16. Interne Anmeldung und KI-gestützte DNS-Prüfung

Anmeldung und Sitzungsverwaltung

Der interne Bereich ist für berechtigte mediamountain-Teammitglieder bestimmt. Die Anmeldung kann über Microsoft oder Google erfolgen und wird über Lovables Anmeldedienst und Lovable Cloud vermittelt. Dabei werden zur Identitätsprüfung erforderliche Kontodaten, insbesondere die E-Mail-Adresse und eine Benutzerkennung, sowie gegebenenfalls vom Anmeldedienst bereitgestellte Profilangaben und technische Anmeldedaten verarbeitet. Der gewählte Anbieter verarbeitet den Anmeldevorgang nach seinen eigenen Datenschutzbedingungen: Microsoft, Google und Lovable.

Lovable Cloud speichert das Benutzerkonto und die administrativen Zugriffsrechte. Die Sitzung wird im Browser gespeichert und bei Bedarf erneuert; sie kann deshalb über das Schließen des Browserfensters hinaus bestehen. Beim Abmelden wird die lokal verwendete Sitzung entfernt. Diese technisch notwendige Sitzungsspeicherung dient der ausdrücklich angeforderten Anmeldung (§ 25 Abs. 2 Nr. 2 TDDDG), nicht der Werbung. Anmelde- und Berechtigungsdaten werden zur sicheren Verwaltung der internen Werkzeuge verarbeitet (Art. 6 Abs. 1 lit. f DSGVO; soweit einschlägig § 26 BDSG). Berechtigungen sind bei Wegfall des Zugriffsbedarfs zu entziehen; nicht mehr erforderliche Kontodaten sind zu löschen, soweit keine dokumentierte Aufbewahrungsgrundlage besteht. Anbieterfristen für Sicherheitsprotokolle sind davon zu unterscheiden.

KI-gestützte DNS-Prüfung

Nur angemeldete Teammitglieder mit administrativer Berechtigung können eine Prüfung auslösen. Die eingegebene Domain und DNS-Einträge werden über Lovables AI Gateway an ein OpenAI-Modell übermittelt, um mögliche Fehler für Website und Microsoft365 zu erklären. Die KI wird nicht beim gewöhnlichen Besuch öffentlicher Seiten aufgerufen und ändert keine DNS-Einträge. Eingaben können personenbezogene Angaben enthalten, etwa Namen oder E-Mail-Adressen in DNS-Einträgen; nur für die Prüfung erforderliche Angaben dürfen eingegeben werden, keine Passwörter, Anmeldetoken oder privaten Kundeninhalte.

Die Prüfung dient der technischen Absicherung unseres Betriebs (Art. 6 Abs. 1 lit. f DSGVO). Der Bericht bleibt im Arbeitsspeicher der geöffneten Ansicht; die Anwendung legt dafür kein eigenes Prüfarchiv an. Für die Modellanfrage wird die Speicherung der Antwort beim Modellanbieter mit der Option store: false abgewählt. Das ist keine Zusicherung, dass Anbieter keine Betriebs- oder Sicherheitsprotokolle führen oder Daten niemals aufbewahren. Die vertragliche Abdeckung, Anbieterfristen und etwaige Drittlandübermittlungen sind anhand der geltenden Anbieterbedingungen zu bestimmen; OpenAI-Datenschutzhinweise. Ergebnisse können falsch sein und müssen vor Änderungen durch eine verantwortliche Person geprüft werden; es erfolgt keine automatisierte Entscheidung nach Art. 22 DSGVO.

17. Avatar-Grafiken und Berganimation

Die Website zeigt grafische Darstellungen von Markus Winterer und Michael Märkl, darunter bereitgestellte Bitmoji-Kopfgrafiken in einer Berganimation. Namen und zuordenbare grafische Darstellungen können personenbezogene Daten der dargestellten Personen sein. Die Veröffentlichung dient der persönlichen Vorstellung unseres Teams. Die erforderliche Grundlage für die Veröffentlichung und etwaige Persönlichkeitsrechte sind unabhängig von der grafischen Lizenz zu klären; die vorliegenden Hinweise erklären keine Einwilligung der dargestellten Personen.

Die Kopfgrafiken werden als Bilddateien über die Auslieferungsinfrastruktur dieser Website bereitgestellt. Die Animation wird im Browser berechnet. Hierfür ist kein Bitmoji- oder Snapchat-Konto der Besucher erforderlich; die Avataranzeige bindet kein Snap-Anmeldeverfahren, Bitmoji-SDK oder Snap-Tracking ein. Beim Abruf der Bilddateien entstehen technische Zugriffsdaten wie bei anderen Websitebildern; hierfür gelten die Hostinghinweise in Abschnitt 4. Die Anwendung verwendet die Avataranzeige nicht zur Gesichtserkennung, biometrischen Identifizierung oder Profilbildung der Besucher.

Die frühere Erstellung der Avatare in Bitmoji ist von der Auslieferung dieser Bilddateien zu unterscheiden. Für eine eigene Nutzung der Bitmoji-App gelten die Datenschutzinformationen des jeweiligen Anbieters. Ein freiwillig geöffneter Link zu Snap oder Bitmoji führt auf eine externe Website. Hinweise zu den Grafikrechten findest du im Impressum; diese Datenschutzerklärung ersetzt weder eine erforderliche grafische Nutzungserlaubnis noch die Rechtsgrundlage für die Darstellung einer Person.

18. Bereitstellung von Daten und Änderungen dieser Hinweise

Du musst unsere Website nicht durch eine aktive Kontaktaufnahme ergänzen. Für eine gewünschte Antwort oder beauftragte Leistung können bestimmte Kontakt-, Auftrags- und gegebenenfalls Zugangsdaten erforderlich sein. Werden erforderliche Angaben oder Freigaben nicht bereitgestellt, kann die Bearbeitung eingeschränkt oder unmöglich sein. Zugriffsbefugnisse dürfen nicht über den erforderlichen Auftrag hinausgehen.

Wir setzen in den hier beschriebenen Abläufen keine automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO ein. Technische Spamprüfungen sind davon zu unterscheiden.

Diese Hinweise werden angepasst, wenn sich Dienste, Abläufe oder rechtliche Anforderungen ändern. Diese Datenschutzerklärung ist dauerhaft unter https://mediamountain.net/datenschutz erreichbar und kann in E-Mail-Signaturen verlinkt werden.