1. Verantwortlicher und Geltungsbereich
Peter Boehlke, feinwerk, Carl-von-Linde-Straße 32, 85716 Unterschleißheim, Deutschland, E-Mail: info@feinwerk.io
Datenschutzbeauftragter: Wolfgang Evers, DSZ GmbH, Brandlweg 5, 83543 Rott am Inn, Telefon: +49 152 2951 7648, E-Mail: wolfgang.evers@dsz365.de
Diese Erklärung gilt für die Plattform Feinwerk Campaigns unter app.campaigns.feinwerk.io, für die E-Mails, die die Plattform versendet, und für Kurzlinks und QR-Codes der Plattform. Für die Website von Feinwerk Campaigns gilt die Datenschutzerklärung der Website.
2. Für wen wir Daten verarbeiten
Die Plattform nutzen Unternehmen, ihre Teams und die Agenturen, die sie einladen. Daraus ergeben sich zwei Rollen:
- Im Auftrag des Unternehmens: Alles, was in einem Arbeitsbereich steht, verarbeiten wir im Auftrag des Unternehmens, das den Arbeitsbereich betreibt: Kampagnen, Links, QR-Codes, Prüfergebnisse, Tracking-Inventar, Anfragen, Kommentare, hochgeladene Dateien, Ergebnisse aus der Webanalyse, das Änderungsprotokoll sowie die Mitgliedschaften und Rollen. Verantwortlich ist dieses Unternehmen; mit ihm schließen wir einen Vertrag über Auftragsverarbeitung (Art. 28 DSGVO). Fragen zu diesen Inhalten und Ihre Rechte richten Sie bitte an das Unternehmen; wir unterstützen es dabei.
- In eigener Verantwortung: Den Betrieb und die Sicherheit der Plattform, Ihr Nutzerkonto, soweit es für Anmeldung, Schutz vor Missbrauch und die Vertragsbeziehung nötig ist, sowie E-Mails zu Ihrem Konto. Dafür gilt diese Erklärung unmittelbar.
3. Hosting und Server-Logfiles
Die Plattform läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrum Nürnberg. Mit Hetzner besteht ein Vertrag über Auftragsverarbeitung (Art. 28 DSGVO). Die Sicherungen der Plattform liegen verschlüsselt ebenfalls bei Hetzner.
Beim Aufruf der Plattform verarbeitet der Webserver automatisch Logfiles (IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, User-Agent, Referrer), um den Betrieb zu sichern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Logfiles werden nach spätestens 30 Tagen gelöscht, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert.
Die Plattform ist nur verschlüsselt erreichbar (HTTPS mit TLS 1.2 oder 1.3).
4. Nutzerkonto und Anmeldung
Für Ihr Konto verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Sprache, den Zeitpunkt der Bestätigung Ihrer E-Mail-Adresse und Ihre Zugangsdaten:
- Passwort: gespeichert nur als Hashwert (bcrypt), nie im Klartext. Beim Festlegen prüft die Plattform, ob das Passwort aus bekannten Datenlecks stammt. Dazu werden nur die ersten fünf Zeichen eines Hashwerts des Passworts an den Dienst „Have I Been Pwned“ übermittelt, nie das Passwort, Ihre E-Mail-Adresse oder andere Angaben.
- Passkeys (freiwillig): Wir speichern nur den öffentlichen Schlüssel und den Namen, den Sie dem Passkey geben; der private Schlüssel bleibt auf Ihrem Gerät.
- Zwei-Faktor-Anmeldung (freiwillig): Das Geheimnis und die Wiederherstellungscodes speichern wir verschlüsselt.
Zum Schutz vor dem Erraten von Passwörtern zählt die Plattform Anmeldeversuche je E-Mail-Adresse und IP-Adresse für jeweils eine Minute.
Zu Einladungen speichern wir die E-Mail-Adresse der eingeladenen Person, wer eingeladen hat und wann. Zu Ihren Einstellungen gehört auch, ob und wofür Sie die Wochenübersicht per E-Mail erhalten.
Rechtsgrundlage ist die Bereitstellung der Plattform: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind, sonst unser berechtigtes Interesse und das des Unternehmens, das Sie eingeladen hat, Ihnen einen sicheren Zugang zu geben (Art. 6 Abs. 1 lit. f DSGVO), sowie der Vertrag über Auftragsverarbeitung mit diesem Unternehmen.
Ihr Konto können Sie in den Einstellungen selbst löschen. Ihre Mitgliedschaften enden dann. Einträge im Änderungsprotokoll eines Arbeitsbereichs bleiben erhalten und enthalten weiter Ihre Nutzerkennung, damit das Unternehmen nachvollziehen kann, wer was geändert hat.
5. Sitzungen und Cookies
Die Plattform setzt nur Cookies, die für ihren Betrieb unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG):
- „feinwerk-campaigns-session“: Ihre Sitzung. Auf dem Server gehören zur Sitzung Ihre Nutzerkennung, Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent). Die Sitzung läuft nach 120 Minuten ohne Aktivität ab.
- „XSRF-TOKEN“: Schutz von Formularen vor Missbrauch, für die Dauer der Sitzung.
- „remember_web_…“: nur wenn Sie bei der Anmeldung „Angemeldet bleiben“ wählen; hält Sie bis zu 400 Tage angemeldet, bis Sie sich abmelden.
- „appearance“ und „sidebar_state“: Ihre Anzeigeeinstellungen (helle oder dunkle Darstellung, Seitenleiste).
Die Plattform enthält keine Webanalyse und keine Werbung, und Ihr Browser lädt dabei keine Dienste von Dritten: Schriften und Skripte liefern wir von unserem eigenen Server aus.
6. E-Mails
Die Plattform versendet E-Mails zur Bestätigung Ihrer E-Mail-Adresse, zum Zurücksetzen Ihres Passworts, mit Einladungen in Arbeitsbereiche und, wenn Sie sie erhalten möchten, die Wochenübersicht zu Ihren Kampagnen. Die Wochenübersicht können Sie in den Einstellungen und über den Link in jeder Mail abbestellen. Die Mails gehen über unseren eigenen Mailserver auf demselben Server; an die Mailserver der Empfänger werden sie verschlüsselt übertragen, wenn diese es anbieten.
7. Anbindung an die Webanalyse eines Unternehmens
Verbindet ein Unternehmen seine Matomo-Installation, ruft die Plattform mit dessen Zugriffstoken zusammengefasste Berichte ab (Besuche, Ziele, Ereignisse und Umsatz je Kampagne und Link) sowie die Konfiguration von Zielen, Ereignissen und Tag Manager. Daten einzelner Besucher der Website ruft sie nicht ab und speichert sie nicht. Das Zugriffstoken speichern wir verschlüsselt und zeigen es nach dem Speichern nicht wieder an.
8. Prüfung von Zielseiten
Die Plattform prüft die Zielseiten von Links: Sie ruft die Seiten ab und verfolgt Weiterleitungen (mit dem User-Agent „FeinwerkCampaignsCheck/1.0“). Für die Prüfung im Browser öffnet unser eigener Scan-Dienst bis zu fünf öffentliche Seiten eines Links in einer abgeschotteten Browser-Umgebung (User-Agent „FeinwerkScanner“). Tracking-Anfragen an Matomo fängt er ab und sendet sie nicht; er speichert keine Ergebnisse und führt keine Anfrageprotokolle. Auf der geprüften Website erscheinen die Abrufe wie gewöhnliche Seitenaufrufe, erkennbar am User-Agent.
9. Kurzlinks und QR-Codes
Kurzlinks und dynamische QR-Codes der Plattform sind in Vorbereitung. Ruft jemand einen Kurzlink auf oder scannt einen dynamischen QR-Code, leitet unser Weiterleitungsdienst zur Zieladresse weiter. Er zählt dabei Aufrufe und Scans je Link und Tag, getrennt nach Menschen und vermuteten Bots. IP-Adressen, User-Agents, Referrer und Cookies speichert und protokolliert er nicht, und für die Kurzlink-Domain werden die Zugriffsprotokolle des Webservers abgeschaltet. Nach dem Ende eines Vertrags leiten Kurzlinks und dynamische QR-Codes noch 12 Monate weiter und zeigen danach eine neutrale Hinweisseite mit der ursprünglichen Zieladresse.
10. Demo ohne Anmeldung
Unter app.campaigns.feinwerk.io/demo können Sie die Plattform ohne Konto ausprobieren. Beim Start der Demo fragen wir weder Ihren Namen noch Ihre E-Mail-Adresse ab. Sie erhalten eine eigene Kopie eines erfundenen Arbeitsbereichs und sind sofort angemeldet.
- Zum Schutz vor Missbrauch zählt die Plattform, wie viele Demos von einer IP-Adresse aus gestartet werden (bei IPv6 das /64-Netz). Gespeichert wird dafür nur ein Hashwert, der mit einem geheimen Schlüssel der Plattform gebildet wird, nicht die Adresse selbst. Der Zähler gilt eine Stunde und wird danach gelöscht.
- Die Demo nutzt eine normale Sitzung mit den Cookies und Sitzungsdaten aus Abschnitt 5.
- Ihre Kopie wird gelöscht, wenn sie zwei Stunden lang nicht genutzt wird, spätestens 24 Stunden nach dem Start. Mit ihr werden alles, was Sie eingegeben haben, die Sitzung und das Änderungsprotokoll der Kopie gelöscht.
- Die Demo verschickt keine E-Mails, ruft keine echten Websites und keine Matomo-Installationen auf und nutzt keinen Prüfdienst.
Rechtsgrundlage ist die Durchführung der Demo, die Sie selbst starten (Art. 6 Abs. 1 lit. b DSGVO), sowie unser berechtigtes Interesse am Schutz der Plattform vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Bitte geben Sie in der Demo keine echten personenbezogenen Daten ein.
11. Zugriff durch unseren Support
Für Unterstützung öffnet unser Support einen Arbeitsbereich nur mit angegebenem Grund, nur lesend und für höchstens 60 Minuten. Der Zugriff steht im Änderungsprotokoll, das die Mitglieder des Arbeitsbereichs einsehen können.
12. Empfänger
Ihre Daten erhält außer uns nur Hetzner als Auftragsverarbeiter für den Betrieb der Server. Wir geben sie nicht an Dritte weiter, nutzen sie nicht für Werbung und übermitteln sie nicht in Länder außerhalb der EU. Die Prüfung von Passwörtern gegen Datenlecks (Abschnitt 4) übermittelt keine personenbezogenen Daten.
13. Speicherdauer
- Nutzerkonto: bis Sie es löschen.
- Arbeitsbereiche: Endet der Vertrag eines Unternehmens, löschen wir die Daten seines Arbeitsbereichs innerhalb von 30 Tagen, einschließlich des Änderungsprotokolls; ausgenommen sind Kurzlink und Zieladresse für die Hinweisseite (Abschnitt 9).
- Demo: die Kopie bis zwei Stunden nach der letzten Nutzung, spätestens 24 Stunden nach dem Start; der Zähler gegen Missbrauch eine Stunde.
- Sitzungen: bis 120 Minuten nach Ihrer letzten Aktivität; „Angemeldet bleiben“ bis zu 400 Tage.
- Server-Logfiles: höchstens 30 Tage.
- Sicherungen: bis sie mit ihrer regulären Rotation überschrieben werden; bis dahin verwenden wir sie nicht.
Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt.
14. Ihre Rechte
Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu formlos an die oben genannte E-Mail-Adresse oder an unseren Datenschutzbeauftragten. Geht es um Inhalte eines Arbeitsbereichs, die wir im Auftrag eines Unternehmens verarbeiten (Abschnitt 2), leiten wir Ihre Anfrage an dieses Unternehmen weiter.
Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie dem jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, z. B. beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
Stand: November 2026