Datenschutzerklärung

Wenn Sie sich auf die Warteliste setzen lassen, speichern wir Name, E-Mail-Adresse, gewünschtes Angebot, Sprache sowie Zeitpunkt und Fassung Ihrer Einwilligung. Wir informieren Sie einmalig per E-Mail, wenn das Angebot wieder verfügbar ist. Eine Buchung entsteht dadurch nicht. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); sie ist jederzeit per E-Mail an hello@loft45.de für die Zukunft widerrufbar.

Bei einem nicht bestätigten Konto versenden wir über Resend einen sechsstelligen Bestätigungscode. Der Code ist zehn Minuten gültig. Bis zur Bestätigung speichern wir Formulardaten, einen Hash des Codes und eine pseudonymisierte Kennung zur Missbrauchsbegrenzung; unbestätigte Anfragen werden regelmäßig nach einem Tag bereinigt. Für die Benachrichtigung speichern wir Versandversuche, Status und Zeitpunkt. Aktive Wartelisteneinträge werden spätestens nach sechs Monaten automatisch gelöscht, auf Wunsch früher.

MBU GmbH verarbeitet die bei Besuch, Kontakt, Konto, Buchung und Zahlung anfallenden Daten für die nachfolgend beschriebenen Zwecke. Optionale Dienste wie Google Maps benötigen Ihre Einwilligung. Angaben zu Verantwortlichem, Empfängern, Aufbewahrung und Ihren Rechten folgen in den nächsten Abschnitten.

Vercel

Die Website läuft bei Vercel Inc. (USA). Dabei fallen insbesondere IP-Adresse, Zeitpunkt, angefragte URL, Browser- und Verbindungsdaten sowie für Anwendungsfunktionen übermittelte Daten an. Vercel nutzt ein globales Auslieferungsnetz; Serverfunktionen sind für dieses Projekt in der Region fra1 (Frankfurt) konfiguriert. Zweck ist die sichere Bereitstellung der Website und der angeforderten Funktionen (Art. 6 Abs. 1 lit. f beziehungsweise b DSGVO). Laufzeitprotokolle werden nach dem Standard des aktuellen Pro-Plans einen Tag vorgehalten; zusätzliche Exporte wurden im Projekt nicht festgestellt. Für Übermittlungen in die USA beschreibt das für Pro-Konten veröffentlichte Vercel-DPA EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie ist unter https://vercel.com/legal/dpa erhältlich.

Supabase

Konten, Anfragen, Buchungen und Nachweise werden bei Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513, in einer Supabase-Datenbank verarbeitet. Die Projekte für Produktion und Staging liegen in eu-central-1 (Frankfurt). Für Authentifizierung werden E-Mail-Adresse, Passwort-Hash und Sitzungsdaten verarbeitet. Zweck ist die Bereitstellung von Konto und angeforderten Leistungen (Art. 6 Abs. 1 lit. b DSGVO); Sicherheitsvorgänge stützen sich auf Art. 6 Abs. 1 lit. f DSGVO. Supabase kann im Rahmen von Support und Unterauftragsverarbeitung Zugriff aus Drittstaaten ermöglichen. Das veröffentlichte Supabase-DPA sieht für Übermittlungen außerhalb des EWR EU-Standardvertragsklauseln (Modul 2 für Verantwortliche an Auftragsverarbeiter) nach Art. 46 Abs. 2 lit. c DSGVO vor. Eine Kopie und die Unterauftragsverarbeiterliste sind unter https://supabase.com/legal/customer-resources/data-processing-addendum und https://supabase.com/legal/customer-resources/subprocessor-list erhältlich.

Verantwortliche Stelle

Die verantwortliche Stelle ist:

MBU GmbHPaulusstr. 45A33602 BielefeldTelefon: +49 521 52052060E-Mail: info@mbugmbh.de

Speicherdauer und Löschung

Die Aufbewahrung personenbezogener Daten richtet sich nach dem jeweiligen Zweck und gesetzlichen Pflichten. Laufende Verträge, steuerliche und handelsrechtliche Aufbewahrung sowie mögliche Rechtsansprüche können eine Löschung verzögern. Für Buchungs-, Rechnungs-, Zahlungs- und Widerrufsnachweise ist keine durchgängige automatische Löschung eingerichtet. Eine Nutzung für andere Zwecke benötigt eine eigene Rechtsgrundlage. Nach deren Ende entfällt dieser Aufbewahrungsgrund.

Ihre Rechte

Sie können nach Maßgabe der DSGVO Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Die Datenübertragbarkeit betrifft Daten, die Sie uns bereitgestellt haben und die wir aufgrund Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten (Art. 20 DSGVO). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen. Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Wenden Sie sich dazu an die oben genannte E-Mail-Adresse.

Beschwerde

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder dem Ort eines mutmaßlichen Verstoßes. Die für den Sitz der MBU GmbH zuständige Behörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit NRWPostfach 20 04 44, 40102 DüsseldorfTel.: 0211 38424-0E-Mail: poststelle@ldi.nrw.de

Cookies und Einwilligungsverwaltung

Für Anmeldung und Gastzugang verwenden wir technisch erforderliche Cookies (§ 25 Abs. 2 Nr. 2 TDDDG). Supabase-Auth-Cookies mit dem Muster „sb-…-auth-token“ können im Browser standardmäßig bis zu 400 Tage bestehen bleiben; die tatsächliche serverseitige Sitzung kann früher enden. Abmeldung und Löschung des Kontos sind davon zu unterscheiden. Ein „CookieConsent“-Cookie speichert Ihre Datenschutz-Auswahl nach Anbieterangaben bis zu zwölf Monate.

Das Einwilligungsmanagement von Usercentrics A/S verarbeitet bei der Bereitstellung des Banners technische Verbindungsdaten und dokumentiert Ihre Auswahl samt Zeitpunkt und Einwilligungskennung. Die erforderliche Speicherung der Auswahl beruht auf § 25 Abs. 2 Nr. 2 TDDDG; der Nachweis auf Art. 6 Abs. 1 lit. c und Art. 7 Abs. 1 DSGVO. Sie können die Auswahl über „Datenschutz-Einstellungen“ im Fußbereich für die Zukunft ändern.

Google Analytics

Nach Ihrer Zustimmung zur Kategorie „Statistiken“ verwenden wir Google Analytics 4 (Google Ireland Limited) zur Auswertung der Nutzung unserer öffentlichen Informations- und Angebotsseiten. Dabei können Cookies und Online-Kennungen, Geräte- und Browserinformationen sowie Seitenaufrufe verarbeitet und an Google übermittelt werden. Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Zustimmung wird der Analytics-Tag nicht geladen.

Die Integration übermittelt Seitenaufrufe ohne URL-Suchparameter und Fragmente. Konto-, Anmelde-, Buchungs-, Zahlungs- und Widerrufsseiten sind von diesen Seitenaufrufen ausgenommen. Für den Einsatz von Google Analytics gilt: Google Signals, Werbepersonalisierung und zusätzliche automatische Ereignisse dürfen im verwendeten GA4-Datenstream nicht aktiviert werden. GA4 wird direkt und ohne Google Tag Manager in einem getrennten, unsichtbaren Seitenbereich geladen. Dieser erhält nur die freigegebenen Seiteninformationen. Bei Widerruf oder Wechsel zu einer ausgeschlossenen Seite wird er entfernt; bei fehlender Statistik-Zustimmung entfernt die Website außerdem ihre erreichbaren GA4-Cookies. Google Ads und Kontakt-Conversions für Google werden nicht eingebunden.

Datenschutzhinweise von Google: https://policies.google.com/privacy

Serverprotokolle

Bei Websiteaufrufen entstehen technische Protokolle mit IP-Adresse, Zeit, angefragtem Pfad, Browser- und Verbindungsdaten. Sie dienen der Bereitstellung, Fehleranalyse und Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Vercel-Laufzeitprotokolle haben beim aktuellen Pro-Plan standardmäßig eine Aufbewahrung von einem Tag. Anwendungsfehler bei sevDesk protokollieren nur Methode, Status und Routenvorlage, keine Antwortinhalte.

Kontaktformular und E-Mail

Bei einer Anfrage verarbeiten wir Ihre Kontaktangaben, das gewählte Thema und Ihre Nachricht zur Bearbeitung (Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Anfragen, sonst lit. f für die Beantwortung). Allgemeine Kontaktanfragen werden per Resend versandt und nicht als eigener Datenbankvorgang gespeichert; bestimmte Büroanfragen werden zusätzlich in Supabase erfasst. Nachrichten können in unserem Microsoft/Outlook-Postfach verarbeitet werden. Resend von Plus Five Five, Inc. (USA) erhält Empfänger, Absender, Betreff, Inhalt und Versanddaten. Über Resend versenden wir außerdem Konto- und Anmelde-E-Mails, Gastzugangscodes, Buchungs- und Rechnungsnachrichten, Storno- und Erstattungsmitteilungen, Wartelistenbenachrichtigungen, Widerrufsbestätigungen und Nachrichten zu Anfragen. Eine Weitergabe an diese Dienstleister ist für die Kommunikation erforderlich und setzt keine gesonderte Einwilligung voraus.

Resend verarbeitet E-Mail-Daten nach eigenen Angaben in den USA, auch wenn der Versand für loft45.de aus eu-west-1 erfolgt. Die Klick- und Öffnungsverfolgung ist für die Domain deaktiviert. Resend nennt für Standardtarife 30 Tage für E-Mails und Logs sowie sieben Tage für Backups. Das veröffentlichte Resend-DPA beschreibt EU-Standardvertragsklauseln und die Teilnahme am EU-US Data Privacy Framework für US-Übermittlungen (https://resend.com/security/gdpr und https://resend.com/legal/dpa). Microsoft veröffentlicht für seine Dienste ein Datenschutz-Addendum (https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA); auch bei der EU Data Boundary können Ausnahmen etwa für Support bestehen (https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-transfers-for-all-services).

Registrierung auf dieser Website

Sie können sich mit E-Mail-Adresse, Passwort und Kundenart („privat“ oder „geschäftlich“) registrieren. Name, Firma und Telefonnummer sind freiwillig. Der Name wird im angemeldeten Portal zusätzlich angezeigt, um Ihr Konto für Sie zu kennzeichnen. Name, Firma und Telefonnummer können außerdem verwendet werden, um Sie zu einer Anfrage zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Beim Löschen des Kontos entfallen Authentifizierung und Profil; selbstständige Anfrage-, Buchungs- und Rechnungsnachweise können aus den unten genannten Gründen bestehen bleiben.

Konto bei Supabase

Supabase verarbeitet E-Mail-Adresse, Passwort-Hash, Kontokennung, freiwillige Profildaten und Sitzungsinformationen. Wir verwenden diese Daten zur Anmeldung und Verwaltung Ihres Kontos (Art. 6 Abs. 1 lit. b DSGVO). Die Kundeneinstufung im Profil ist ein Ausgangswert für spätere Buchungen, entscheidet aber nicht allein über die rechtliche Einordnung des jeweiligen Vertrags.

Gastbuchung und Zugriffscode

Beim Start einer Gastbuchung erzeugt Supabase eine technische anonyme Authentifizierungsidentität. Für den späteren Zugriff auf eine Gastbuchung versenden wir einen Einmalcode über Resend an die zugehörige E-Mail-Adresse. In der Datenbank speichern wir einen Hash des Codes, Sitzungs- und Buchungszuordnung sowie pseudonymisierte Kennungen zur Begrenzung von Versuchen. Der Code gilt höchstens zehn Minuten, die Gastzugangssitzung höchstens eine Stunde. Die Cookies „loft45-guest-challenge“ und „loft45-guest-booking“ tragen diese Gültigkeitszeiten. Abgelaufene Datensätze werden bei der nächsten erfolgreichen Wartung bereinigt; ein exakter Löschzeitpunkt ist nicht garantiert. Technische anonyme Konten können nach 30 Tagen unter bestimmten Sperrbedingungen gelöscht werden. Buchungs- und Rechnungsdaten bleiben davon getrennt.

Vertragsnachweise

Für bestimmte Buchungen dokumentieren wir die angezeigte Fassung und den Zeitpunkt der Widerrufsinformation sowie gegebenenfalls den Wunsch nach frühem Leistungsbeginn und dessen Bestätigung. Berechtigte Administratoren können tatsächliche Leistung, Storno, Erstattung und einen möglichen Wertersatz mit Zeitpunkten und sachlichen Notizen dokumentieren. Das dient Vertragsabwicklung und Nachweis (Art. 6 Abs. 1 lit. b und, soweit eine Pflicht besteht, lit. c DSGVO); Aufbewahrung folgt dem jeweiligen Buchungsdatensatz.

Cloudflare Turnstile

Bei Direktbuchung und geschützten Anmelde- und Registrierungsseiten laden wir Cloudflare Turnstile von Cloudflare, Inc. (USA) über challenges.cloudflare.com. Cloudflare verarbeitet nach eigenen Angaben unter anderem IP-Adresse, TLS-Fingerabdruck, User-Agent und technische Browsersignale, jedoch keine Formularinhalte. Ein einmaliges Token wird an Supabase Auth zur Prüfung übermittelt; LOFT45 speichert es nicht in der Anwendungsdatenbank. Das Token ist höchstens fünf Minuten gültig.

Zweck ist der Schutz vor automatisierten und missbräuchlichen Zugriffen (Art. 6 Abs. 1 lit. f DSGVO; für unbedingt erforderliche Gerätezugriffe § 25 Abs. 2 Nr. 2 TDDDG). Cloudflare beschreibt Rollen als Auftragsverarbeiter für den Schutz der Website und eigener Verantwortlicher für die Verbesserung der Bot-Erkennung. Für Übermittlungen außerhalb des EWR beschreibt das Cloudflare-DPA EU-Standardvertragsklauseln (Modul 2 bei Verarbeitung für Verantwortliche). Anbieterinformationen und eine Kopie stehen unter https://www.cloudflare.com/turnstile-privacy-policy/ und https://www.cloudflare.com/cloudflare-customer-dpa/.

Büroanfragen

Für Büroanfragen speichern wir gewünschtes Angebot, Sprache, Startdatum, optionale Nachricht, Status und Bearbeitungsdaten. Ohne Konto kommen Name, E-Mail-Adresse und optional Telefonnummer hinzu; mit Konto wird die Kontokennung zugeordnet. Berechtigte Administratoren bearbeiten diese Daten, um die angefragte Leistung vorzubereiten und vereinbarte Preisvorteile anzuwenden (Art. 6 Abs. 1 lit. b DSGVO). Einladungslinks zu einem Konto sind einmalig und 24 Stunden gültig; wir speichern nur deren Hash, Ablauf und Verwendung. Eigenständige Büroanfragen können nach Kontolöschung weiter bestehen. Eine automatische Löschfrist für diese Vorgänge ist noch nicht eingerichtet.

Buchung und Rechnung

Für Buchungen erfassen wir Name, E-Mail-Adresse und Rechnungsanschrift, bei Firmenbuchungen zusätzlich die Organisation. Bei Geschäftsbuchungen ist eine Käuferreferenz erforderlich; für andere Buchungen wird sie nicht verlangt. Wir speichern Buchungs-, Leistungs-, Zahlungs- und Rechnungsangaben. Für die Rechnung erhält sevDesk GmbH Empfänger- und Anschriftdaten, E-Mail-Adresse, technische Kundennummer sowie Rechnungs- und Leistungsdaten. Ein gespeichertes Rechnungsadressbuch bei Supabase ist freiwillig; die bloße Speicherung löst keine Übermittlung an sevDesk aus. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für den Vertrag und lit. c für gesetzliche Rechnungs- und Aufbewahrungspflichten.

Handels- und Steuerrecht sehen je nach Art der Unterlage grundsätzlich sechs Jahre für Handels- und Geschäftsbriefe, acht Jahre für Buchungsbelege und Rechnungen sowie zehn Jahre für Bücher und Abschlüsse vor; die Frist beginnt jeweils am Ende des maßgeblichen Kalenderjahres (§ 257 HGB, § 147 AO, § 14b UStG). Offene steuerliche Verfahren oder Rechtsansprüche können eine längere Aufbewahrung erfordern. Kontolöschung oder Änderung einer Rechnungsadresse entfernt keine bereits erforderlichen Buchungs- oder Rechnungsnachweise.

Elektronischer Widerruf

Bei Nutzung der elektronischen Widerrufsfunktion speichern wir Name, Vertragsbezug, angegebene E-Mail-Adresse, Erklärung sowie Eingangs- und Versandzeitpunkt. Die Eingangsbestätigung und die interne Benachrichtigung der zuständigen Administratoren laufen über Resend. Grundlage sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB und Art. 6 Abs. 1 lit. b DSGVO für die Vertragsabwicklung. Eine automatische Löschung dieser Nachweise ist derzeit nicht umgesetzt; eine Löschung ist nach Bearbeitung und Wegfall einschlägiger Aufbewahrungs- oder Anspruchsgründe möglich.

Zahlungsarten und Daten

Für Kartenzahlungen wird im letzten Buchungsschritt das SumUp Payment Widget von gateway.sumup.com geladen. Wir übermitteln Checkout-Referenz, Betrag, Währung, Beschreibung, Händlercode und Rückkehr-URL. Vollständige Kartennummern und CVV gehen direkt vom Browser an SumUp; LOFT45 speichert sie nicht. LOFT45 speichert für Buchung, Erstattung und Abstimmung Checkout-, Transaktions- und Erstattungskennungen, Status, Beträge, Währung und Zeitpunkte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für erforderliche Buchhaltungsnachweise auch lit. c.

Die von SumUp freigegebenen Wallets Apple Pay und Google Pay stehen zur Auswahl. Erst nach Ihrer Auswahl laden wir das zugehörige SDK und prüfen die Browser-Unterstützung, bevor ein Zahlungscheckout erstellt wird. Dabei können bereits vor der abschließenden Zahlungsfreigabe technische Verbindungs- und Gerätedaten an Apple beziehungsweise Google gehen. Nach Ihrer Zahlungsfreigabe wird der Wallet-Zahlungstoken vorübergehend über LOFT45 an SumUp übermittelt; LOFT45 speichert ihn nicht. Die ausgewählte Zahlungsart wird ohne Kartendaten für die Dauer des Tabs im Session Storage gehalten. Weitere technische Datenverarbeitungen durch Apple, Google und SumUp erläutern deren Datenschutzhinweise: https://www.apple.com/de/legal/privacy/, https://policies.google.com/privacy und https://www.sumup.com/de-de/datenschutzbestimmungen/.

Rollen und Übermittlungen

SumUp verarbeitet Zahlungsdaten nach eigener Darstellung teils als eigener Verantwortlicher. SumUp beschreibt mögliche Empfänger und Übermittlungen außerhalb des EWR mit vertraglichen oder anderen zulässigen Garantien. Einzelheiten und eine Kopie der veröffentlichten Bedingungen finden Sie unter https://www.sumup.com/de-de/datenschutzbestimmungen/ und https://www.sumup.com/de-de/geschaeftsbedingungen/dpa/. Zahlungs- und Rechnungsnachweise bleiben nach den oben beschriebenen gesetzlichen Kriterien erhalten.

Google Maps

Auf Start- und Kontaktseite wird Google Maps erst nach Ihrer Marketing-Einwilligung über die Datenschutz-Einstellungen geladen, unabhängig davon, ob GTM aktiviert ist. Bei Zustimmung erhält Google Ireland Limited insbesondere IP-Adresse, Browser- und Gerätedaten; innerhalb der Karte können weitere Dienste wie Google Fonts nachgeladen werden. Zweck ist die Anzeige unseres Standorts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Ohne Zustimmung zeigen wir die Anschrift als Text. Sie können Ihre Auswahl über „Datenschutz-Einstellungen“ für die Zukunft widerrufen. Eine Übermittlung an Google LLC in den USA ist möglich; Google verweist auf das EU-US Data Privacy Framework. Details: https://policies.google.com/privacy

Lokale Seitenschriften

Die Schriften der LOFT45-Seiten werden lokal vom Website-Hosting ausgeliefert. Dabei entsteht kein zusätzlicher Google-Fonts-Aufruf. Erst die gesondert freigegebene Maps-Einbindung kann eigene Schriftaufrufe an Google auslösen.

Nach Ihrer Einwilligung in die Marketing-Kategorie verwenden wir auf unserer produktiven Website das OpenAI-Pixel und die Conversions API. Zweck ist die Messung und Auswertung unserer ChatGPT-Anzeigen. Wir melden den Beginn eines Checkouts, erfolgreich angenommene Kontakt-, Office- und Event-Anfragen sowie erfolgreich bezahlte und bestätigte Buchungen. Wartelisten werden nicht erfasst.

Übermittelt werden Ereignisart und -zeit, eine pseudonyme Ereigniskennung, die Website-Herkunft und gegebenenfalls eine Klick- oder Browserkennung. Bei abgeschlossenen Buchungen übermitteln wir den bezahlten Bruttobetrag und die Währung. Beim Laden und Senden im Browser erhält OpenAI außerdem technische Verbindungsdaten, insbesondere die IP-Adresse und Browserinformationen. Unser Server ergänzt keine Kunden-IP oder Kontaktinformationen für einen erweiterten Abgleich.

Wir übermitteln keine Nachrichteninhalte, Namen, Kontakt- oder Rechnungsadressen, Karten- oder Bankdaten und keine daraus gebildeten Kontakt-Hashes. Der automatische erweiterte Kundenabgleich bleibt deaktiviert. URLs werden ohne Zugangstokens, personenbezogene Pfadbestandteile, Suchparameter und Fragmente verwendet. Pseudonyme Kennungen können dennoch personenbezogene Daten sein.

Verantwortlich für unsere Verarbeitung ist MBU GmbH; die Kontaktdaten stehen im Abschnitt „Verantwortliche Stelle“. Empfänger für EWR-Daten ist OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. OpenAI verarbeitet Conversion-Daten im Standardbetrieb nach seinen Conversion-Bedingungen als eigener Verantwortlicher. Die Bedingungen erlauben auch die Bereitstellung und Verbesserung seiner Produkte und Dienste. Für vertraglich definierte eingeschränkte Verarbeitung gelten abweichende Rollen.

Rechtsgrundlagen für unsere Werbemessung sind Art. 6 Abs. 1 lit. a DSGVO und, soweit Geräteinformationen gespeichert oder ausgelesen werden, § 25 Abs. 1 TDDDG. Ohne Einwilligung laden wir das Pixel nicht und übermitteln keine Conversion-Events. Sie können die Einwilligung jederzeit über „Datenschutz-Einstellungen“ für die Zukunft widerrufen. Die Rechtmäßigkeit vorheriger Verarbeitung bleibt unberührt. Der Widerruf stoppt künftige Meldungen und löscht erreichbare Tracking-Cookies sowie noch nicht versandte Trackingdaten; bereits übermittelte Daten werden dadurch nicht automatisch bei OpenAI gelöscht. Für Auskunft oder Löschung wenden Sie sich an uns unter info@mbugmbh.de oder an OpenAI unter privacy@openai.com.

Die Speicherfristen stehen in der folgenden Übersicht. Gesetzliche Aufbewahrung von Buchungs- und Rechnungsnachweisen bleibt davon getrennt. OpenAI kann Daten außerhalb des EWR, insbesondere in den USA, verarbeiten. Das Ad Tools DPA sieht einen gültigen Mechanismus für Weiterübermittlungen vor; OpenAI beschreibt hierfür Angemessenheitsbeschlüsse und ansonsten EU-Standardvertragsklauseln. Informationen und Kopien geeigneter Garantien erhalten Sie über die nachfolgend genannten Bedingungen beziehungsweise privacy@openai.com.

Ihre Auswahl erlaubt die Erfolgsmessung; eine Verwendung dieser Ereignisse für künftige nutzerbezogene Werbepersonalisierung schließen wir über die von OpenAI angebotene Opt-out-Funktion aus.

Speicherfristen und Löschung

Die Klickkennung „__oppref“ wird im Browser bis zu 30 Tage ab Schreiben gespeichert; ein erneut erfasster Klickparameter setzt die Frist neu. Die Browserkennung „__obref“ gilt bis zu 365 Tage ab Erstellung. Browserbeschränkungen oder das Löschen von Cookies können diese Laufzeiten verkürzen.

Der signierte Tracking-Kontext „__loft45_ads“ und die zugehörige technische Klickzeitkennung bestehen höchstens 30 Tage. Serverseitige Klickzuordnungen und Consent-Kontexte werden spätestens nach 30 Tagen gelöscht, bei Widerruf früher. Ein kennungsbasierter Widerrufsnachweis bleibt bis zum Ablauf des Kontexts erhalten, damit verspätete Anfragen eine widerrufene Einwilligung nicht wieder aktivieren.

Noch nicht versandte Ereignisdaten speichern wir bis zur Zustellbestätigung, höchstens sieben Tage ab Ereignis. Erfolgreicher oder endgültig gescheiterter Versand entfernt Betrag und Klickzuordnung früher. Ein technischer Deduplizierungsnachweis bleibt 30 Tage ab Ereignis erhalten; er enthält opake Ereignis-ID, Typ, Zustellstatus und technische Zeitangaben, keinen Betrag, keine Klickkennung und keine vollständigen Ereignisdaten.

Ein Widerruf entfernt erreichbare Tracking-Cookies und noch nicht versandte Ereignisdaten. Bei fehlender Verbindung oder sofortigem Schließen des Browsers kann der serverseitige Widerruf erst beim nächsten erfolgreichen Abgleich oder durch Ablauf wirksam werden. Vollständiges Löschen der Browser-Cookies ohne Servermitteilung erlaubt keine sofortige Zuordnung anonymer Serverdaten. Bereits gestartete Übermittlungen können nicht zurückgerufen werden.

Diese Fristen betreffen die LOFT45-Integration und bestimmen nicht OpenAIs eigene Aufbewahrung bereits empfangener Daten. Eine konkrete Höchstfrist für rohe Conversion-Daten ist in den geprüften Ads-Unterlagen nicht benannt. Für OpenAIs eigenständige Verarbeitung gelten dessen Datenschutzhinweise und Bedingungen; weitere Informationen erhalten Sie unter https://openai.com/policies/eu-privacy-policy/ und https://openai.com/policies/ad-tools-dpa/ oder privacy@openai.com. Cookie-Laufzeit, Zuordnungsfenster für Anzeigen und Anbieter-Aufbewahrung sind voneinander zu unterscheiden.