## 1. Verantwortlicher und Kontakt

Verantwortlich für die eigenen Verarbeitungen des Kaffeeliste-Dienstes ist Clemens Creutzburg, CTB-IT, In den Sieben Stücken 9d, 30655 Hannover, E-Mail: info@ctb-it.de. Telefonnummer und Ticketsystem stehen im [Impressum](impressum.php). Ein Datenschutzbeauftragter ist derzeit nicht bestellt, weil keine gesetzliche Bestellpflicht festgestellt wurde.

## 2. Unsere Rollen

Für Registrierung, Kundenkonto, Vertragsabwicklung, Abrechnung, Support, Sicherheit, die optionale Nutzungsanalyse und den Betrieb der öffentlichen Website ist CTB-IT Verantwortlicher.

Verwaltet ein Kunde Daten anderer Personen innerhalb seines Mandanten, ist grundsätzlich der Kunde Verantwortlicher und CTB-IT Auftragsverarbeiter. Dies regelt der [AVV](avv.php). Bei ausschließlich persönlichen oder familiären Tätigkeiten eines privaten Kunden kann die Haushaltsausnahme nach Art. 2 Abs. 2 lit. c DSGVO gelten. CTB-IT schützt die Daten technisch und vertraglich unabhängig davon.

## 3. Website, Serverprotokolle und anonyme Aufrufzahlen

Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, übertragene Datenmenge, Referrer, Browser, Betriebssystem und HTTP-Status. Zweck sind sichere Auslieferung, Fehleranalyse und Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist ein sicherer und stabiler Dienst.

Anwendungsseitige IP-Daten aus der Begrenzung automatisierter Versuche werden spätestens nach 24 Stunden gelöscht. Webserver-Protokolle sollen im Produktivbetrieb nach spätestens sieben Tagen gelöscht oder anonymisiert werden, sofern ein Sicherheitsvorfall keine längere, zweckgebundene Sicherung erfordert.

Für eine einfache Reichweitenzählung erhöhen wir beim GET-Abruf ausgewählter öffentlicher HTML-Seiten einen Tageszähler. Gespeichert werden ausschließlich das Datum, ein fest vorgegebener Seitenschlüssel und die Anzahl der Aufrufe. IP-Adresse, User-Agent, Referrer, vollständige URL, URL-Parameter, Cookie-, Sitzungs- oder Benutzerkennung werden nicht in diese Statistik übernommen. Sie erlaubt daher weder die Ermittlung eindeutiger Besucher noch die Bildung von Nutzungsprofilen. Wiederholte und automatisierte Aufrufe können enthalten sein. Weil keine Information auf dem Endgerät gespeichert oder daraus ausgelesen wird, ist hierfür keine Einwilligung nach § 25 TDDDG erforderlich; die aggregierten Zähldaten weisen keinen Personenbezug auf.

## 4. Registrierung und Kundenkonto

Wir verarbeiten Kundenname und -kürzel, Kundentyp, Name, E-Mail-Adresse, Passwort-Hash, E-Mail-Bestätigung, Rollen, Anmeldezeitpunkte, Vertrags- und Rechtstextversionen, Zeitpunkt der Annahme, IP-Adresse und User-Agent. Zwecke sind Vertragsschluss, Authentifizierung, Berechtigungen, Vertragsnachweis und Kommunikation. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO sowie für Sicherheits- und Nachweisdaten Art. 6 Abs. 1 lit. f DSGVO. Pflichtfelder sind für Vertragsschluss und sichere Kontoführung erforderlich; ohne sie ist keine Registrierung möglich.

Ein Klartextpasswort wird nicht gespeichert. Die Kenntnisnahme der Datenschutzerklärung ist keine Einwilligung in Werbung oder Analyse. Eine Einwilligung in die Nutzungsanalyse wird separat über die Cookie-Einstellungen abgefragt.

## 5. Mandanten-, Teilnehmer- und Kassendaten

Je nach Nutzung werden Einstellungen, Marken- und Zahlungsangaben des Kunden, Teilnehmername, E-Mail-Adresse, PayPal-Anzeigename und -E-Mail, Nutzerzuordnung, Rollen, Aktivstatus, Verbrauch, Einzahlungen, Salden, Bemerkungen, Hinweise, FAQ-Inhalte, Importe, Benachrichtigungsstatus und Administrationsprotokolle verarbeitet.

Bei Auftragsverarbeitung bestimmt der Kunde Zwecke, Rechtsgrundlagen, Inhalte und Empfänger. Die Daten stammen vom Kunden, seinen Administratoren, den Teilnehmern oder aus vom Kunden veranlassten Importen. Teilnehmer sollten sich für Auskunft, Berichtigung oder Löschung zuerst an den jeweiligen Kunden wenden; CTB-IT unterstützt diesen nach dem AVV.

## 6. Vertrag, Abrechnung, Stripe und Dolibarr

Bei kostenpflichtigen Tarifen verarbeiten wir Tarif, Teilnehmerzahl, Abrechnungsstatus, Stripe-Kunden- und Abonnementkennung, Laufzeit, Rechnungsbetrag und Zahlungsstatus zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO und für Buchführung und Steuerrecht nach Art. 6 Abs. 1 lit. c DSGVO.

Zahlungen werden durch Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, abgewickelt. Stripe erhält insbesondere Kontakt-, Vertrags-, Geräte- und Zahlungsdaten. Stripe verarbeitet einen Teil als unser Auftragsverarbeiter und einen Teil in eigener Verantwortlichkeit, etwa zur Betrugsprävention und Erfüllung finanzrechtlicher Pflichten. Übermittlungen in die USA oder andere Drittländer können auf Angemessenheitsbeschlüssen, insbesondere dem EU-US Data Privacy Framework für zertifizierte Empfänger, oder EU-Standardvertragsklauseln beruhen. Weitere Informationen: [Stripe-Datenschutz](https://stripe.com/de/privacy).

Bezahlte Rechnungen werden im selbst betriebenen Dolibarr-System unter verwaltung.ctb-it.de für Buchführung und Kundenverwaltung gespiegelt. Dabei werden Kunden-, Vertrags-, Rechnungs- und Zahlungsdaten verarbeitet, aber grundsätzlich keine Teilnehmer- oder Kasseninhalte.

## 7. PayPal-Zahlungsmails

Aktiviert ein Kunde die PayPal-Zuordnung, werden an die mandantenspezifische Zahlungsadresse weitergeleitete PayPal-Benachrichtigungen automatisiert ausgelesen. Verarbeitet werden unter anderem Absender- und Empfängeradresse, PayPal-Transaktionskennung, Name und E-Mail des Zahlers, Betrag, Währung, Zahlungszeit und Zuordnungsstatus. Zweck ist die vom Kunden gewünschte Zuordnung zu Teilnehmern und Einzahlungen. Bei Teilnehmerdaten erfolgt dies im Auftrag des Kunden; für die Bereitstellung und Sicherheit der Funktion zusätzlich auf Art. 6 Abs. 1 lit. b und f DSGVO.

PayPal selbst verarbeitet Daten in eigener Verantwortlichkeit nach den dortigen Datenschutzinformationen. Die Kaffeeliste ruft keine PayPal-Kontodaten des Kunden über eine PayPal-API ab.

## 8. E-Mail, Support und Ticketsystem

Wir senden notwendige E-Mails zur Verifizierung, Anmeldung, Passwortzurücksetzung, Einladung, Vertragsbestätigung, Kündigung, Widerruf und zu vom Kunden aktivierten Kassenbenachrichtigungen. Verarbeitet werden Empfänger, Betreff, Status, Zeitpunkt und gegebenenfalls Fehler. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO beziehungsweise bei Teilnehmernachrichten der Auftrag des Kunden. Versandprotokolle werden regelmäßig nach 180 Tagen gelöscht, soweit sie nicht als Vertragsnachweis länger erforderlich sind.

Bei Kontakt per E-Mail oder über ticketsystem.ctb-it.de verarbeiten wir die übermittelten Kontaktdaten, Inhalte, Anhänge, Zeitpunkte und technischen Protokolldaten, um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist nachvollziehbarer und sicherer Support. Bitte übermitteln Sie im Ticket keine unnötigen besonderen Kategorien personenbezogener Daten.

## 9. Hosting, Empfänger und Auftragsverarbeiter

Die Anwendung, Datenbank, Sitzungen, Sicherungen, der Mailtransport und die selbst betriebene Matomo-Instanz werden auf Infrastruktur der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, innerhalb Deutschlands beziehungsweise der Europäischen Union betrieben. Mit netcup besteht ein Vertrag über Auftragsverarbeitung. Durch die Nutzungsanalyse werden keine Daten an Matomo Cloud übermittelt.

Weitere Empfänger sind Stripe für Zahlung und Abrechnung, Behörden oder Berater bei gesetzlicher Pflicht beziehungsweise Rechtsverteidigung und die vom Kunden bestimmten Nutzer und Empfänger. Eine Weitergabe für fremde Werbung findet nicht statt.

## 10. Cookies, Einwilligung und Matomo

Die Anwendung setzt das Sitzungs-Cookie „kaffeeliste_session“. Es ist für Login, Mandantenzuordnung, Sicherheit und CSRF-Schutz erforderlich, enthält eine zufällige Sitzungskennung, ist für JavaScript nicht lesbar und wird beim Schließen des Browsers beendet. Grundlage für den Zugriff auf das Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b und f DSGVO.

Das Cookie „kaffeeliste_analytics_consent“ speichert für 180 Tage ausschließlich die Version der Abfrage und die Entscheidung „erlaubt“ oder „abgelehnt“. Es enthält keine Benutzerkennung. Es ist erforderlich, um die gewünschte Einstellung umzusetzen und nicht bei jedem Seitenaufruf erneut zu fragen. Grundlage sind § 25 Abs. 2 Nr. 2 TDDDG und, soweit die Einstellung personenbezogen ist, Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine nutzerfreundliche und zuverlässige Einwilligungsverwaltung.

Nur nach einer freiwilligen Einwilligung verwenden wir die selbst betriebene Analysesoftware Matomo, um Aufrufe und Navigationswege auf der öffentlichen Website und in der App auszuwerten. Der Browser sendet die Analysedaten dabei zunächst an die gerade besuchte Kaffeeliste-Domain; unser Server leitet sie an die fest konfigurierte Matomo-Instanz weiter. Die IP-Adresse des Endgeräts wird nicht an Matomo weitergegeben. Verarbeitet werden können Zeitpunkt, aufgerufener Seitenpfad und Seitentitel, zuvor besuchter Kaffeeliste-Seitenpfad, Browsertyp, Betriebssystem, Sprache, Bildschirmauflösung sowie eine zufällige Besucherkennung. URL-Abfragen und Fragmente werden vor der Übermittlung entfernt; dadurch werden insbesondere Verifizierungs-, Passwort-Reset- und Zugriffs-Tokens nicht an Matomo gesendet. Formulareingaben, Kasseninhalte und eine Kaffeeliste-Benutzerkennung werden nicht an Matomo übermittelt. Browser-Funktionserkennung, Performance-Messung, Link-Klick-Tracking, Heatmaps und Sitzungsaufzeichnungen sind nicht aktiviert.

Nach der Einwilligung setzen wir das Cookie „kaffeeliste_analytics_visitor“ mit einer zufälligen, nicht aus anderen Angaben abgeleiteten Besucherkennung für bis zu 180 Tage. Es ermöglicht Matomo, mehrere Seitenaufrufe desselben Browsers als Navigationsweg zusammenzufassen. Eine konto- oder personenbezogene Nutzer-ID wird nicht verwendet. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig; ihre Ablehnung hat keinen Einfluss auf die Nutzung des Dienstes.

Die IP-Adresse wird in Matomo vor ihrer dauerhaften Speicherung um mindestens zwei Bytes gekürzt. Roh- und Besuchsdaten werden spätestens nach 180 Tagen gelöscht; ausschließlich verdichtete Berichte werden höchstens 25 Monate aufbewahrt. Es findet kein websiteübergreifendes Tracking, keine Werbung und keine Weitergabe der Analysedaten an Dritte zu deren eigenen Zwecken statt.

Die Entscheidung kann jederzeit über die ständig erreichbare Schaltfläche „Cookie-Einstellungen“ geändert werden. Bei einem Widerruf wird die künftige Analyse beendet und das Analyse-Besuchercookie sowie gegebenenfalls noch vorhandene ältere Matomo-Cookies werden gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Schriften und Gestaltungselemente werden lokal ausgeliefert; beim bloßen Seitenaufruf wird keine Verbindung zu Google Fonts hergestellt.

## 11. Speicherdauer und Löschung

- Kundenkonto und operative Mandantendaten: für die Vertragsdauer; bei einer ausdrücklich ausgelösten Mandantenlöschung sofort aus dem Produktivsystem, sonst 30 Tage nach Vertragsende
- technische Rate-Limit-Daten: höchstens 24 Stunden
- Admin- und Sicherheitsprotokoll: regelmäßig 180 Tage; bei einem konkreten Vorfall bis zu dessen Abschluss und Ablauf einschlägiger Verjährungsfristen
- E-Mail-Versandprotokoll: regelmäßig 180 Tage
- Matomo-Roh- und Besuchsdaten: höchstens 180 Tage; verdichtete Analyseberichte höchstens 25 Monate
- Vertragsannahmen, Kündigungen, Widerrufe und erforderliche Korrespondenz: regelmäßig bis zum Ablauf der zivilrechtlichen Verjährung, grundsätzlich drei Jahre ab Ende des Jahres, bei Rechtsstreit länger
- Rechnungen, Zahlungs- und Buchungsbelege des Anbieters: acht Jahre oder eine andere gesetzlich vorgeschriebene Dauer nach § 257 HGB und § 147 AO
- Sicherungskopien: rollierend bis zu 14 Tage; danach Überschreibung. Bei Wiederherstellung werden zuvor fällige Löschungen erneut ausgeführt.

Interne Kaffee- oder Getränkebuchungen des Kunden werden nicht pauschal als steuerliche Belege des Anbieters behandelt. Der Kunde bestimmt im Rahmen seiner Verantwortung eigene Aufbewahrungsfristen und kann den Mandanten löschen. Gesetzlich aufzubewahrende Abrechnungsdaten des Anbieters bleiben getrennt erhalten.

## 12. Ihre Rechte

Soweit CTB-IT Verantwortlicher ist, bestehen nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung in die Nutzungsanalyse kann jederzeit über „Cookie-Einstellungen“ mit Wirkung für die Zukunft widerrufen werden.

Gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen. Bei Direktwerbung wäre ein Widerspruch jederzeit ohne Begründung möglich; Direktwerbung ist derzeit nicht vorgesehen.

Anfragen richten Sie an info@ctb-it.de oder über das Ticketsystem im Impressum. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für den Anbieter ist insbesondere die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, zuständig.

## 13. Automatisierte Entscheidungen

Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling statt, die rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt. Sicherheitslimits können Anfragen kurzfristig technisch blockieren; eine Vertragsentscheidung wird damit nicht getroffen.

## 14. Änderungen

Wir aktualisieren diese Erklärung, wenn sich Verarbeitung oder Rechtslage ändern. Bei wesentlichen Änderungen für bestehende Kunden informieren wir über einen geeigneten Kontaktweg.

Stand: 27. August 2026