Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist die
OM-IT Systeme GmbH, Gewerbering 35, 49393 Lohne (Oldenburg), Deutschland
Handelsregister Amtsgericht Oldenburg (Oldenburg), HRB 22105
Telefon: +49 4442 8886190 – E-Mail: info@omit-systeme.de

Unsere Leistungen richten sich vorwiegend an Unternehmen im Oldenburger Münsterland sowie bundesweit. Für alle Datenschutzanliegen genügt eine Nachricht an die oben genannten Kontaktdaten.

2. Allgemeine Hinweise

Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Vorschriften der DSGVO, des BDSG, des TDDDG sowie dieser Datenschutzerklärung.

3. Kategorien von Daten

• Bestands- und Kontaktdaten: Namen, E-Mail-Adressen, Telefonnummern.
• Nutzungsdaten: Server-Logfiles (IP-Adresse, Zeitstempel, Referrer). Über unsere Webanalyse (PostHog, Cloud EU) erfassen wir pseudonyme Nutzungsdaten (aufgerufene URLs inkl. in der URL enthaltener Kampagnenparameter wie utm_source, Seitenaufrufe, Ereignisse wie Klicks) – vor Ihrer Einwilligung cookielos und ohne dauerhafte Kennung, nach Ihrer Einwilligung zusätzlich mit Wiedererkennung und Session-Aufzeichnung, siehe Abschnitt Webanalyse (PostHog) sowie – soweit Sie in „Analytics / Marketing“ einwilligen – firmenbezogene Auswertungen über Leadfeeder Web Visitors (Dealfront), siehe unten.
• Kommunikationsdaten: Inhalte aus Kontakt- und Anfrageformularen, Newsletter-Anmeldungen und Bewerbungen sowie E-Mails, die Sie uns schreiben (siehe Abschnitte 5a und 5b).
• Cookie-Daten: Consent-Status, lokale Personalisierung (omit-user-profile), Merker unserer Online-Checks (z. B. abgeschlossener Check), bei Einwilligung in „Analytics / Marketing“ Webanalyse-Cookies (PostHog) und ggf. Leadfeeder (Dealfront), siehe Cookie-Tabelle und Abschnitt zu Leadfeeder. Ohne Einwilligung setzt PostHog keine Cookies (cookielose Messung).
• Onboarding-Angaben: Nur wenn wir Ihnen einen persönlichen Link zu unserem Onboarding-Formular geschickt haben: Angaben zu Ihrem Unternehmen, Ansprechpersonen und Ihrer IT-Ausstattung (siehe Abschnitt 5c).
• E-Mail-Security-Check: Eingegebene Domain, Scan-Ergebnis und IP (nur flüchtig im Arbeitsspeicher, keine dauerhafte Speicherung).
• security.txt- und Security-Header-Check: Eingegebene Domain, Prüfergebnis und IP (nur flüchtig im Arbeitsspeicher, keine Speicherung; siehe Abschnitt 6a).
• Identity-Tools (Passwort-Check / Datenleck-Check): Das Passwort wird nicht gespeichert. Beim Datenleck-Check wird die E-Mail-Adresse zur Prüfung an XposedOrNot übermittelt und bei uns nicht gespeichert; intern verwenden wir nur einen Hash-Wert (siehe Abschnitt 7). Beim E-Mail-Breach-Report (nur wenn aktiviert) halten wir die E-Mail-Adresse bis zur Abfrage und das Ergebnis höchstens 24 Stunden im Arbeitsspeicher vor (siehe Abschnitt 7).
• M365-Sicherheitscheck: Kennung Ihrer Microsoft-365-Organisation (Tenant-ID), verschlüsseltes Zugriffstoken und die abgerufenen Secure-Score-Daten (siehe Abschnitt 7b).

4. Zwecke und Rechtsgrundlagen

• Webseitenbetrieb: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Vertragsvorbereitung: Art. 6 Abs. 1 lit. b DSGVO.
• Analyse & Marketing: Nur mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

5. Hosting & Infrastruktur

Die Website läuft auf einem Cloud-Server der IONOS SE (Elgendorfer Str. 57, 56410 Montabaur, Deutschland), den wir selbst betreiben. Serverseitige Logfiles verarbeiten wir zur Stabilitätssicherung und löschen sie nach 14 Tagen.

Content-Delivery-Netzwerk (Cloudflare): Der Abruf dieser Website läuft technisch über das Netzwerk der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Cloudflare liefert die Inhalte über Server in Ihrer Nähe aus, verschlüsselt die Verbindung und wehrt Angriffe (z. B. Überlastungsangriffe) ab. Damit Ihre Anfrage beantwortet werden kann, verarbeitet Cloudflare technisch notwendige Verbindungsdaten – insbesondere Ihre IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie Angaben zu Browser und Betriebssystem. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, verfügbaren und schnellen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Eine Verarbeitung in Drittländern ist dabei technisch nicht ausgeschlossen. Cloudflare stützt solche Übermittlungen nach seinem Auftragsverarbeitungs-Zusatz (Data Processing Addendum, Abschnitt 6.2) auf die Standardvertragsklauseln der EU-Kommission.

5a. Kontakt, Formulare und E-Mail-Versand

Wenn Sie uns über ein Formular dieser Website schreiben – etwa über das Kontaktformular, eine Download-Anforderung, den Compliance-Check, den IT-Reifegrad-Check, die Anmeldung zu unseren Sicherheits-Tipps oder das Bewerbungsformular –, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Telefonnummer, Unternehmen und Ihre Nachricht), um Ihr Anliegen zu bearbeiten. Unser Server leitet die Angaben als E-Mail an unser Postfach weiter; bei einigen Formularen erhalten Sie zusätzlich eine automatische Bestätigung per E-Mail.

Beim Compliance-Check und beim IT-Reifegrad-Check enthält diese Bestätigung Ihren PDF-Report als Anhang; denselben Report erhalten wir mit Ihrer Anfrage. Beim Compliance-Check können Sie ihn außerdem sofort im Browser herunterladen. Übermittelt werden dort nur Ihre Kontaktdaten, Größe, Branche und Ihre Ergebniswerte, nicht Ihre einzelnen Antworten.

Im Kontaktformular können Sie zusätzlich freiwillig angeben, wie Sie auf uns aufmerksam geworden sind (Auswahl aus festen Antworten). Diese Angabe erhalten wir mit Ihrer Anfrage; in unserer Statistik der eingegangenen Anfragen zählen wir sie ohne Bezug zu Ihrer Person.

Zwischenablage bei Versandstörungen: Kann die E-Mail mit Ihren Formularangaben ausnahmsweise nicht an unser Postfach versendet werden, legen wir Ihre Angaben verschlüsselt (AES-256-GCM) auf unserem Server ab, damit Ihre Anfrage nicht verloren geht. Anhänge wie einen Lebenslauf oder einen PDF-Bericht speichern wir dabei nicht. Sobald wir Ihre Anfrage in unser Postfach übernommen haben, löschen wir die Ablage.

E-Mail-Versand (Resend): Den technischen Versand dieser E-Mails übernimmt der E-Mail-Versanddienst Resend der Plus Five Five, Inc. (2261 Market Street #5039, San Francisco, CA 94114, USA). Das betrifft die Benachrichtigungen an unser Postfach – bei Bewerbungen einschließlich des hochgeladenen Lebenslaufs als Anhang – ebenso wie die Bestätigungs-E-Mails an Sie. Resend verarbeitet dabei den Inhalt der jeweiligen E-Mail sowie Absender- und Empfängeradresse, und zwar in unserem Auftrag nach seinem Auftragsverarbeitungs-Zusatz (Data Processing Addendum, Art. 28 DSGVO).

Übermittlung in die USA: Nach eigenen Angaben verarbeitet Resend die Daten hauptsächlich in den USA und speichert dort auch Metadaten und Protokolle der versendeten E-Mails. Ihre Angaben gelangen damit in ein Land außerhalb der EU (Drittland). Resend ist nach dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) zertifiziert. Für so zertifizierte Unternehmen hat die EU-Kommission festgestellt, dass Daten dort angemessen geschützt sind (Angemessenheitsbeschluss, Art. 45 DSGVO). Soweit die Zertifizierung eine Übermittlung nicht abdeckt, stützt Resend sie nach Abschnitt 6.2 seines Auftragsverarbeitungs-Zusatzes auf die Standardvertragsklauseln der EU-Kommission, also von der Kommission vorgegebene Datenschutz-Vertragsbedingungen (Art. 46 Abs. 2 lit. c DSGVO).

E-Mail-Postfach (Microsoft 365): Unser E-Mail-Postfach wird über Exchange Online (Microsoft 365) der Microsoft Ireland Operations Ltd. (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) betrieben. Dort gehen die Formularangaben ebenso ein wie E-Mails, die Sie uns direkt schreiben.

5b. Newsletter: Sicherheits-Tipps und Neuigkeiten per E-Mail

An mehreren Stellen können Sie freiwillig einwilligen, gelegentlich IT-Sicherheits-Tipps und Neuigkeiten von uns per E-Mail zu erhalten: in der Anmeldung zu den Sicherheits-Tipps bei unseren Prüf-Werkzeugen, als nicht vorausgewähltes Kästchen bei Download-Anforderungen und – bezogen auf neue Stellenanzeigen und Unternehmensnews – im Bewerbungsformular.

Sicherheits-Tipps (Double-Opt-in): Nach Ihrer Anmeldung senden wir Ihnen eine E-Mail mit einem Bestätigungslink, der 7 Tage gültig ist. Erst wenn Sie auf der verlinkten Seite „Anmeldung bestätigen“ anklicken, nehmen wir Sie auf. Bis dahin legen wir Ihre Anmeldung bei uns nicht ab; die Angaben stehen nur – verschlüsselt – im Bestätigungslink. Nach der Bestätigung halten wir als Nachweis Ihre E-Mail-Adresse, die Stelle der Anmeldung, den Wortlaut der Einwilligung sowie Anmelde- und Bestätigungszeitpunkt in einer E-Mail an unser Postfach fest (siehe Abschnitt 5a, dort auch zur Zwischenablage bei Versandstörungen).

Bei Download-Anforderungen halten wir als Nachweis Ihre E-Mail-Adresse, den Wortlaut der Einwilligung und den Zeitpunkt fest; im Bewerbungsformular wird Ihre Auswahl mit der Bewerbung übermittelt. Wir erhalten diese Angaben als E-Mail (siehe Abschnitt 5a).

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, formlos an info@omit-systeme.de.

5c. Onboarding-Formular für Neukunden

Wenn wir mit Ihrem Unternehmen eine Zusammenarbeit beginnen, schicken wir Ihnen einen persönlichen Link zu unserem Onboarding-Formular. Das Formular ist nur über diesen Link erreichbar. Je nach vereinbartem Umfang fragen wir darin Angaben zu Ihrem Unternehmen und zur Abrechnung, zu Ansprechpersonen (Name, Funktion, E-Mail-Adresse, Telefonnummer), zu Ihrer IT-Ausstattung, zu Ihrem bisherigen IT-Dienstleister und zur Datensicherung sowie die Angaben, die wir für den Vertrag zur Auftragsverarbeitung brauchen. Passwörter fragen wir im Formular nicht ab.

Zweck und Rechtsgrundlage: Wir verwenden die Angaben, um die Betreuung Ihrer IT vorzubereiten und durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Soweit Sie Angaben zu Beschäftigten oder anderen Ansprechpersonen eintragen, stützen wir uns auf unser berechtigtes Interesse, die Zusammenarbeit mit Ihrem Unternehmen abzuwickeln (Art. 6 Abs. 1 lit. f DSGVO). Bitte weisen Sie diese Personen auf diesen Abschnitt hin.

Übertragung und Speicherung: Ihre Angaben werden verschlüsselt übertragen und auf unserem Server (siehe Abschnitt 5) sofort verschlüsselt abgelegt. Den Schlüssel, mit dem sie sich wieder lesbar machen lassen, bewahren wir nicht auf diesem Server auf. Über den Eingang informiert uns eine E-Mail an unser Postfach (siehe Abschnitt 5a). Sie enthält im Betreff den Namen Ihres Unternehmens und Ihre Angaben nur als verschlüsselte Datei; der Versanddienst Resend und unser Postfach-Anbieter können den Inhalt nicht lesen. Erst nach dem Entschlüsseln bei uns übernehmen wir die Angaben in unsere Unterlagen zu Ihrer Betreuung.

Zwischenspeichern: Wenn Sie „Zwischenspeichern“ wählen, verschlüsselt Ihr Browser den Zwischenstand mit einem Schlüssel aus Ihrem persönlichen Einladungslink. Auf unserem Server liegt nur der verschlüsselte Zwischenstand. Mit demselben vollständigen Link können Sie später fortsetzen, auch auf einem anderen Gerät. Beim Absenden, Widerrufen oder Ausstellen eines neuen Links wird der bisherige Zwischenstand gelöscht.

Nach dem Absenden können Sie Ihre Angaben direkt als PDF-Protokoll herunterladen. Bei uns wird auch dieses Protokoll nur innerhalb der verschlüsselten Eingangsdatei gespeichert. Wenn Sie eine E-Mail-Adresse für eine Eingangsbestätigung eintragen, verwenden wir sie für diese Bestätigung über den in Abschnitt 5a genannten Versanddienst. Die Bestätigung enthält keine Antworten und keinen Einladungslink.

Keine Webanalyse: Auf der Seite des Onboarding-Formulars laden wir weder die Webanalyse (PostHog) noch Leadfeeder. Es findet keine Aufzeichnung durch Webanalyse statt.

Speicherdauer: Der Link ist befristet, höchstens auf 90 Tage, und gilt nach dem Absenden nicht mehr. Ihre Angaben speichern wir für die Dauer der Zusammenarbeit und darüber hinaus, soweit gesetzliche Aufbewahrungsfristen greifen (siehe Abschnitt 11). Kommt keine Zusammenarbeit zustande, löschen wir die Angaben, sobald wir sie dafür nicht mehr brauchen.

6. E-Mail-Security-Check (Tool)

Es wird keine Datenbank und keine dauerhafte Speicherung verwendet. Das Tool arbeitet ausschließlich mit flüchtigem Arbeitsspeicher (RAM); es werden keine Daten auf Festplatte oder in einer Datenbank geschrieben.

Wenn Sie das Tool „E-Mail-Sicherheit prüfen“ (z. B. unter /email-security-check) nutzen, verarbeiten wir dabei nur vorübergehend:

• die eingegebene Domain (z. B. example.com),
• Ihre IP-Adresse (nur für die Anfragenbegrenzung),
• das Scan-Ergebnis (SPF, DMARC, DKIM – nur im RAM, max. 24 Stunden bzw. bis zum Neustart des Servers).

Nach Ablauf oder beim Neustart sind diese Daten weg. Wir speichern nicht dauerhaft, wer wann welche Domain geprüft hat.

Zweck: Bereitstellung des Tools zur Prüfung der E-Mail-Konfiguration (Zustellbarkeit, Spoofing-Schutz). Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Eine Weitergabe der eingegebenen Domain oder der Scan-Ergebnisse an Dritte erfolgt nicht. Soweit in allgemeinen Server-Logfiles IP und Zugriffszeit anfallen, gelten die Angaben zu Hosting und Löschfristen (z. B. 14 Tage).

6a. Prüfwerkzeuge für Websites (security.txt-Check, Security-Header-Check)

Wenn Sie den security.txt-Check (/security/tools/securitytxt) oder den Security-Header-Check (/security/tools/security-header) nutzen, rufen wir die öffentlich erreichbare security.txt bzw. die Startseite der eingegebenen Domain ab und werten die Antwort aus. Dabei verarbeiten wir nur vorübergehend:

• die eingegebene Domain,
• Ihre IP-Adresse (nur im Arbeitsspeicher für die Anfragenbegrenzung, höchstens eine Minute),
• das Prüfergebnis, das nur an Ihren Browser zurückgegeben wird.

Domain und Ergebnis werden nicht gespeichert. Der security.txt-Generator auf derselben Seite läuft vollständig in Ihrem Browser; Ihre Eingaben werden nicht an uns übertragen.

Zweck: Bereitstellung der Prüfwerkzeuge. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Eine Weitergabe der eingegebenen Domain oder der Ergebnisse an Dritte erfolgt nicht. Soweit in allgemeinen Server-Logfiles IP und Zugriffszeit anfallen, gelten die Angaben zu Hosting und Löschfristen (z. B. 14 Tage).

7. Identity-Sicherheit (Passwort-Check, Datenleck-Check)

Wir bieten Werkzeuge zur Prüfung von Passwörtern („Passwort-Check“) und zur Prüfung, ob eine E-Mail-Adresse in bekannten Datenlecks vorkommt („Datenleck-Check“).

Passwort-Check: Ihr Browser berechnet aus dem eingegebenen Passwort einen nicht umkehrbaren Hash-Wert (SHA-1) und sendet nur dessen erste fünf Zeichen an unseren Server. Dieser ruft damit bei Have I Been Pwned (Pwned Passwords) die Liste passender Hash-Werte ab; der Abgleich erfolgt in Ihrem Browser. Das Passwort selbst verlässt Ihren Browser nicht. Weder Passwort noch Hash-Ausschnitt werden gespeichert oder protokolliert; eine Zuordnung zu Ihrer Person ist nicht möglich. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Datenleck-Check (XposedOrNot): Den Datenleck-Check führen wir über den Dienst XposedOrNot durch. Vor jeder Prüfung erteilen Sie am Formular eine ausdrückliche Einwilligung (Kästchen zum Ankreuzen). Ihre E-Mail-Adresse gelangt verschlüsselt (HTTPS) zu unserem Server. Dieser fragt bei XposedOrNot ab, ob die Adresse in bekannten Datenlecks vorkommt; dabei wird Ihre E-Mail-Adresse als Teil der Abruf-Adresse (URL) über eine verschlüsselte Verbindung (TLS) an XposedOrNot übermittelt. Ihre IP-Adresse geben wir dabei nicht an XposedOrNot weiter. Wie XposedOrNot die Anfragen verarbeitet, beschreibt die Datenschutzerklärung von XposedOrNot.

Bei uns wird Ihre E-Mail-Adresse weder gespeichert noch protokolliert. Unser Server bildet aus ihr lediglich einen nicht umkehrbaren Hash-Wert mit einem geheimen Schlüssel (gesalzener Hash). Diesen Wert nutzen wir nur intern: als Schlüssel für einen Zwischenspeicher, in dem wir das Ergebnis (Treffer ja oder nein und die Namen der betroffenen Datenlecks) bis zu sieben Tage im Arbeitsspeicher vorhalten, damit eine Wiederholungsprüfung nicht erneut an XposedOrNot geht, und um die Zahl der Prüfungen pro Tag je Hash-Wert und je IP-Adresse zu begrenzen. Bei einem Neustart des Servers werden diese Daten gelöscht. Es wird kein Nutzerprofil angelegt. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

E-Mail-Breach-Report über Have I Been Pwned (nur wenn aktiviert): Nur wenn wir diese Variante freigeschaltet haben, können Sie einen Bericht über den Dienst Have I Been Pwned anfordern – nur auf Ihre ausdrückliche Anfrage (Double-Opt-In: Bestätigung per E-Mail-Link). Die E-Mail-Adresse halten wir dafür nur im Arbeitsspeicher unseres Servers vor, bis Sie den Link bestätigen; nach der Abfrage bei Have I Been Pwned löschen wir sie. Bestätigen Sie nicht, verfällt die Anfrage nach 24 Stunden. Das Ergebnis (Liste bekannter Datenlecks) ist nur über einen Link abrufbar, der 24 Stunden nach Ihrer Anfrage abläuft. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

7a. Weitere externe Prüfdienste (Phishing-URL, KEV)

Phishing-URL-Check (PhishTank): Wenn dieses Tool freigeschaltet ist, wird die von Ihnen eingegebene URL an die Community-Datenbank PhishTank übergeben, um sie mit bekannten Phishing-Adressen abzugleichen. Wir rufen die URL nicht selbst auf. Geben Sie bitte keine URLs ein, die selbst vertrauliche Tokens, Sessions oder personenbezogene Daten enthalten. Es wird keine dauerhafte Speicherung Ihrer Eingaben angelegt; Rate-Limits begrenzen die Abfragehäufigkeit pro IP-Adresse. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

KEV-Trust-Center (CISA Known Exploited Vulnerabilities): Wir spiegeln zur Anzeige aktiv ausgenutzter Schwachstellen den öffentlichen Katalog der US-Behörde CISA (Cybersecurity and Infrastructure Security Agency). Dabei werden keine Ihrer Daten an CISA gesendet. Der Datenabruf erfolgt serverseitig und unabhängig von Ihrem Besuch.

7b. M365-Sicherheitscheck (Microsoft Secure Score)

Mit dem M365-Sicherheitscheck können Sie den Microsoft Secure Score Ihrer Microsoft-365-Umgebung abrufen und auswerten lassen. Dazu melden Sie sich mit einem Konto Ihrer Organisation bei Microsoft an und erlauben unserer Anwendung den lesenden Zugriff; bei der ersten Nutzung muss ein Administrator Ihrer Organisation einmalig zustimmen.

Angeforderte Berechtigungen (nur lesend): openid, profile und email für die Anmeldung, SecurityEvents.Read.All für den Secure Score und die Empfehlungen von Microsoft zu den einzelnen Maßnahmen sowie Organization.Read.All für die Lizenzübersicht (gekaufte und zugewiesene Lizenzen je Produkt). Schreibrechte fordern wir nicht an, ebenso keinen dauerhaften Zugang (Refresh Token).

Verarbeitete Daten: Bei der Anmeldung übermittelt Microsoft ein Anmelde-Token (ID-Token) mit Angaben zu Ihrem Konto, wegen der Berechtigungen profile und email auch Ihren Namen und Ihre E-Mail-Adresse. Wir lesen daraus nur die Kennung Ihrer Microsoft-365-Organisation (Tenant-ID) aus; Name und E-Mail-Adresse werten wir nicht aus und legen sie nicht gesondert ab. Außerdem verarbeiten wir das Zugriffstoken sowie die abgerufenen Daten: den Secure Score mit den Bewertungen der einzelnen Maßnahmen, die aktivierten Dienste, den Vergleichswert ähnlicher Organisationen und die Lizenzübersicht.

Speicherung: Das Zugriffstoken speichern wir ausschließlich verschlüsselt (AES-256-GCM) auf unserem Server, zusammen mit der Tenant-ID und dem zuletzt abgerufenen Secure-Score-Stand. Die Sitzung ist höchstens 24 Stunden gültig; abgelaufene Sitzungen löscht unser Server bei der nächsten Verwendung des Sitzungsspeichers. Mit „Trennen“ löschen Sie die Sitzungsdaten sofort. Ein nicht abgeschlossener Anmeldevorgang verfällt nach 15 Minuten. Für den Anmeldevorgang setzen wir das Cookie m365_state; es enthält nur einen Prüfwert und verhindert Manipulationen der Anmeldung. Zur Zuordnung Ihrer Sitzung setzen wir danach das Cookie m365_session (siehe Abschnitt 13).

In der Webanalyse (Abschnitt 8) erfassen wir – nur mit Ihrer Einwilligung in „Analytics / Marketing“ – lediglich Nutzungsereignisse wie den Start der Verbindung und das Gesamtergebnis (Bewertungsstufe und Prozentwert), nicht die Tenant-ID, Ihren Namen oder Ihre E-Mail-Adresse.

Empfänger: Microsoft Ireland Operations Ltd. (Anschrift siehe Abschnitt 5a). Die Anmeldung läuft über Microsoft Entra ID, den Datenabruf führt unser Server über die Microsoft Graph-Schnittstelle durch.

Widerruf: Die Zustimmung für unsere Anwendung können Sie bzw. Ihr Administrator jederzeit in Microsoft Entra ID unter „Unternehmensanwendungen“ widerrufen.

8. Webanalyse (PostHog)

Wir setzen zur Reichweitenmessung und zur Auswertung der Nutzung unserer Website das Analyse-Tool PostHog ein. Anbieter ist die PostHog Inc. (965 Mission St, San Francisco, CA 94103, USA). Wir nutzen ausschließlich PostHog Cloud EU; die Daten werden in einem Rechenzentrum in der EU (Frankfurt am Main) verarbeitet. Mit PostHog besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; für den Anbieter als US-Unternehmen gelten ergänzend die Standardvertragsklauseln (SCC).

Rechtslage (TDDDG / DSGVO) – drei Stufen:

• Ohne Einwilligung (cookielos, ohne dauerhafte Kennung): PostHog misst die Nutzung in einem cookielosen Modus – es werden keine Cookies gesetzt, keine geräteübergreifend wiedererkennbare Kennung gespeichert und keine Sitzungsaufzeichnung erstellt. Es wird ausschließlich eine flüchtige, nur im Arbeitsspeicher gehaltene Kennung verwendet (kein Cookie, kein dauerhafter Browser-Speicher). Erfasst werden nur datensparsame Kennzahlen: Seitenaufrufe (Reichweite), Verweildauer, technische Performance/Ladezeiten und Fehler sowie – bei jeder Änderung Ihrer Auswahl im Cookie-Banner, auch beim Widerruf – Ihre Einwilligungsentscheidung selbst („Ja/Nein“ je Kategorie, ob es Ihre erste Auswahl ist, und die Version des Cookie-Banners, auf die sich Ihre Auswahl bezieht, beim vollständigen Zurücksetzen nur den Widerruf; ohne dauerhafte Kennung – es gilt dieselbe flüchtige, nur im Arbeitsspeicher gehaltene Kennung wie für die übrigen Kennzahlen; willigen Sie in „Analytics / Marketing“ ein, wird diese Kennung ab dann dauerhaft gespeichert), damit wir die Einwilligungsquote messen können. Zusätzlich wird Ihr Einwilligungsstand – zwei Ja/Nein-Angaben zu „Analytics / Marketing“ und „Sitzungsaufzeichnung“ – an diesen Messdaten mitgeführt, damit wir Auswertungen auf die jeweilige Gruppe eingrenzen können. Ein automatisches Klick-Tracking (Autocapture) und eine Heatmap-Erfassung finden ohne Einwilligung nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweiten- und Stabilitätsmessung (Art. 6 Abs. 1 lit. f DSGVO).
• Mit Ihrer Einwilligung („Analytics / Marketing“): Zusätzlich setzen wir Cookies bzw. nutzen den lokalen Speicher zur Wiedererkennung über Sitzungen hinweg, erfassen Klick- und Interaktions­ereignisse (Autocapture), Heatmaps und können Umfragen ausspielen. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
• Mit Ihrer Einwilligung („Sitzungsaufzeichnung“): Nur wenn Sie diese separate Kategorie aktivieren, erstellen wir pseudonyme Sitzungsaufzeichnungen (Session Replay) zur Verbesserung der Bedienbarkeit – alle Eingabefelder sind dabei maskiert. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Verarbeitete Daten: Pseudonyme Nutzungsdaten, darunter die aufgerufenen Seiten (URL inkl. Pfad und in der URL enthaltene Parameter wie z. B. Kampagnenparameter utm_source, utm_medium, utm_campaign), Seitentitel, Ereignisse (z. B. Klicks auf Buttons, Formularabsendungen), Scroll-/Heatmap-Daten, Performance-Werte (Web Vitals), technische Fehler sowie technische Merkmale (Browsertyp, Gerät). Haben Sie in „Personalisierung“ und in „Analytics / Marketing“ eingewilligt, führen wir an diesen Messdaten außerdem die Bezeichnung des ermittelten Besuchersegments mit (z. B. Herkunft über eine Kampagne oder eine vermutete Branche; kein Name und keine Kennung). Die Auswertung erfolgt in aggregierter bzw. pseudonymisierter Form; wir nutzen die Kampagnenparameter nur zur Messung der Wirksamkeit von Maßnahmen (z. B. Links in E-Mails), nicht zur Identifizierung einzelner Personen. Eine Zusammenführung mit personenbezogenen Daten (z. B. Name, E-Mail) erfolgt nicht – einzige Ausnahme sind persönlich zugesandte Links (nächster Absatz).

Persönlich zugesandte Links (ref) – „Wer hat das Tool genutzt?“: Wenn wir Ihnen einen Link zu einem unserer Tools (z. B. Compliance-Check, E-Mail-Security-Check) persönlich zusenden (z. B. per E-Mail), können wir dem Link ein Kennzeichen (ref oder recipient) mitgeben. Darauf weisen wir in derselben Zusendung hin. Erfasst wird das Kennzeichen nur, wenn Sie im Cookie-Banner in „Analytics / Marketing“ eingewilligt haben; ohne diese Einwilligung – oder nach deren Widerruf – entfernen wir es aus den Messdaten. Mit der Einwilligung erfassen wir es in der Webanalyse, damit wir erkennen können, dass der an Sie gesendete Link genutzt wurde – und Ihnen bei Bedarf gezielt folgen können. Die Zuordnung erfolgt nur für Links, die wir Ihnen selbst geschickt haben. Rechtsgrundlage: Ihre Einwilligung in „Analytics / Marketing“ im Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO). Wenn Sie die Zuordnung vermeiden möchten, erteilen Sie diese Einwilligung nicht oder rufen Sie das Tool direkt über unsere Website ohne den persönlichen Link auf.

Speicherdauer: Ohne Einwilligung werden keine Cookies gesetzt. Mit Einwilligung setzt PostHog Cookies bzw. Local-Storage-Einträge (z. B. ph_…_posthog) zur Wiedererkennung (Speicherdauer siehe Tabelle in Abschnitt 13); die Gesamtspeicherdauer der Rohdaten richtet sich nach unserer PostHog-Konfiguration. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen; dann wird das Tracking auf den cookielosen Modus zurückgesetzt, und wir löschen die von PostHog in Ihrem Browser gespeicherten Cookies und Einträge (Kennung und Sitzung).

Lokaler Speicher statt Cookies: Für die Personalisierung nutzen wir Einträge im lokalen Speicher Ihres Browsers (localStorage/sessionStorage) statt Cookies. Diese Einträge werden ausschließlich nach Ihrer Einwilligung gesetzt und bei einem Widerruf sofort gelöscht. Die Einträge selbst verlassen Ihren Browser nicht; an die Webanalyse geht – nur wenn Sie zusätzlich in „Analytics / Marketing“ eingewilligt haben – die Bezeichnung des daraus ermittelten Besuchersegments (siehe „Verarbeitete Daten“ oben).

Widerspruch / Widerruf: Über die Cookie-Einstellungen auf dieser Website können Sie die Kategorie „Analytics / Marketing“ deaktivieren. Zusätzlich können Sie in vielen Browsern ein „Do Not Track“-Signal setzen. Dieses Signal werten wir derzeit nicht gesondert aus; maßgeblich ist ausschließlich Ihre Auswahl in den Cookie-Einstellungen.

9. Leadfeeder Web Visitors (Dealfront)

Wir nutzen den Dienst Leadfeeder Web Visitors der Dealfront-Gruppe (ehemals Leadfeeder), um firmenbezogene Informationen zu Besuchen auf unserer Website zu erhalten (z. B. Zuordnung von Besuchen zu Unternehmen, soweit technisch möglich). Angaben des Anbieters zu Unterauftragsverarbeitern, Speicherdauer und Datenübermittlungen in Drittländer finden Sie in der Privacy Notice von Dealfront (Leadfeeder).

Technische Einbindung: Das Skript von sc.lfeeder.com laden wir erst, nachdem Sie in die Cookie-Kategorie „Analytics / Marketing“ eingewilligt haben; ohne diese Einwilligung wird es nicht geladen. Nach Ihrer Einwilligung rufen wir zusätzlich die vom Anbieter vorgesehene Funktion acceptCookie() auf, mit der Leadfeeder seine Cookies setzen darf (Consent Mode).

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Widerruf: Sie können die Einwilligung zu „Analytics / Marketing“ jederzeit über die Cookie-Einstellungen dieser Website widerrufen. Bereits gesetzte Cookies des Anbieters können Sie zusätzlich in Ihren Browser-Einstellungen löschen.

10. Terminbuchung (Microsoft Bookings) und Produkt-Touren (DocuWare)

Auf der Seite „Beratung“ bieten wir eine Online-Terminbuchung über Microsoft Bookings an. Der Buchungskalender wird als eingebetteter Inhalt der Microsoft Corporation bzw. der Microsoft Ireland Operations Ltd. (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) geladen. Der Inhalt wird erst geladen, nachdem Sie die Kategorie „Externe Inhalte“ aktiviert haben. Dabei werden Ihre IP-Adresse, Browser- und Gerätedaten sowie die von Ihnen im Buchungsformular eingegebenen Angaben an Microsoft übertragen; eine Verarbeitung außerhalb der EU ist dabei nicht ausgeschlossen. Rechtsgrundlage für das Laden ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), für die Terminabwicklung Art. 6 Abs. 1 lit. b DSGVO. Ohne Einwilligung zeigen wir statt des Kalenders einen Hinweis mit Telefonnummer und E-Mail-Adresse.

Auf der Seite zu DocuWare binden wir interaktive Produkt-Touren von DocuWare ein (showme.docuware.com). Auch sie werden erst geladen, nachdem Sie die Kategorie „Externe Inhalte“ aktiviert haben; vorher sehen Sie nur einen Platzhalter. Beim Laden werden Ihre IP-Adresse sowie Browser- und Gerätedaten an DocuWare übertragen, und DocuWare kann Cookies setzen. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Server-Logfiles löschen wir nach 14 Tagen. Anfragen über das Kontaktformular oder per E-Mail speichern wir bis zur abschließenden Bearbeitung und darüber hinaus, soweit handels- und steuerrechtliche Aufbewahrungsfristen greifen (§ 147 AO, § 257 HGB). Der Nachweis Ihrer Cookie-Einstellungen (omit-cookie-consent, als Cookie und im lokalen Speicher) gilt 365 Tage; danach löschen wir ihn beim nächsten Besuch und fragen Sie erneut. Für die Webanalyse gilt Abschnitt 8, für die Personalisierung die Tabelle in Abschnitt 13.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Sie haben außerdem das Recht, jederzeit Widerspruch gegen Verarbeitungen einzulegen, die wir auf ein berechtigtes Interesse stützen (Art. 21 DSGVO). Soweit wir Daten aufgrund Ihrer Einwilligung verarbeiten, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) – für Cookies und Webanalyse über die Cookie-Einstellungen dieser Website, im Übrigen formlos an info@omit-systeme.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

Bereitstellung und automatisierte Entscheidungen: Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die im Formular als Pflichtfeld gekennzeichneten Angaben können wir Ihre Anfrage jedoch nicht bearbeiten. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 DSGVO findet nicht statt.

13. Cookies & vergleichbare Technologien

Tabelle seitlich scrollbar →

14. Aktualität

Stand: 28.10.2026