Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf nodarix-connect.de im Sinne der DSGVO ist:
Nodarix GmbH
Geschäftsbereich Nodarix Connect
Rüstersieler Str. 46
26386 Wilhelmshaven
Telefon: 04421 69 74 710
E-Mail: info@nodarix.de

Ein Datenschutzbeauftragter ist nicht bestellt. Die Nodarix GmbH beschäftigt weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten betraut sind, und unterliegt damit nicht der Pflicht zur Bestellung eines Datenschutzbeauftragten gemäß § 38 BDSG.

2. Hosting und externe Auftragsverarbeiter

Die Website wird auf einem Server bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) in einem deutschen Rechenzentrum gehostet. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Transaktionale E-Mails (Anmelde-Links, Auftrags-Benachrichtigungen, Rechnungen) werden über All-Inkl.com (Neue Medien Münnich) (Hauptstraße 68, 02742 Friedersdorf, Deutschland) versendet. Auch hier besteht ein Vertrag zur Auftragsverarbeitung.

3. Zugriffsdaten und Server-Logfiles

Beim Aufruf unserer Website werden technisch notwendige Daten gespeichert:

• IP-Adresse (gehasht und gekürzt gespeichert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Verweisende URL (Referer)
• Browser und Betriebssystem (User-Agent)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Sicherheit). Logfiles werden nach 14 Tagen gelöscht.

4. Cookies und Session-Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies:

• Session-Cookie (NextAuth) — speichert deine Anmelde-Sitzung. Löscht sich automatisch bei Logout oder nach 30 Tagen Inaktivität.
• CSRF-Token — schützt Formulare vor Cross-Site-Request-Forgery-Angriffen.
• 2FA-Cookie (optional) — bei aktivierter Zwei-Faktor-Authentifizierung wird das erfolgreich verifizierte Gerät für die Dauer der Session markiert.
• Impersonation-Cookie (nur Admin) — speichert signiert (HMAC), dass ein Administrator vorübergehend in einem fremden Konto agiert. Wird beim Beenden gelöscht und protokolliert.

Wir setzen keine Tracking-, Marketing- oder Analyse-Cookies ein. Daher ist auch kein Cookie-Banner erforderlich.

5. Registrierung und Anmeldung

Für die Registrierung erheben wir nur die E-Mail-Adresse. Die Anmeldung erfolgt per Magic Link (NextAuth via Nodemailer) — wir speichern und verarbeiten dabei keine Passwörter.

Optional können Konten über Google oder Microsoft Entra ID verknüpft werden. Dabei erhalten wir nur deine E-Mail-Adresse und deinen Namen — keine weiteren Profildaten.

6. Freelancer-Profile

Freelancer veröffentlichen ihre Profil-Daten (Name, Bio, Skills, Pakete, Profilbild) bewusst und freiwillig. Diese Daten sind öffentlich sichtbar.

Profilbilder werden in einem MinIO-Object-Storage auf demselben Hetzner-Server gespeichert. Es findet keine Übertragung an Dritte statt.

Wenn Freelancer die Plattform-Zahlungsabwicklung über Stripe aktivieren, speichern wir zusätzlich eine Stripe-Account-ID (technische Kennung, die deinen Express-Account bei Stripe referenziert) sowie den Verifizierungs-Status. Die eigentlichen Identitäts- und Bankdaten erhebt und speichert Stripe direkt (siehe § 8) — wir haben darauf keinen Zugriff.

7. Anfragen und Aufträge

Wenn du eine Anfrage an einen Freelancer stellst oder ein Paket buchst, speichern wir die Anfrage- bzw. Auftragsdaten (Titel, Beschreibung, hochgeladene Dateien, Kommunikation, Statusverlauf, Stripe-Zahlungs-IDs) zur Vertragsabwicklung gemäß Art. 6 Abs. 1 lit. b DSGVO.

Auftragsdaten werden gemäß steuerrechtlicher Aufbewahrungsfristen 10 Jahre aufbewahrt und danach anonymisiert.

8. Zahlungsabwicklung mit Stripe (Stripe Connect)

Zahlungen werden über Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) abgewickelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Wir nutzen das Modell Stripe Connect mit Express-Sub-Accounts — die Freelancer erhalten dabei ein eigenes Konto bei Stripe, an das deine Zahlung als Käufer fließt (abzüglich einer Plattform-Gebühr).

Welche Daten an Stripe übermittelt werden:

• Als Käufer: Deine Zahlungsdaten (Kartennummer, Ablaufdatum, CVC bzw. SEPA-Mandatsdaten), Name, E-Mail, IP-Adresse, Browser-Informationen sowie der Auftrag-Betrag. Die Zahlungsdaten werden direkt im Browser an Stripe übertragen (PCI-DSS-konform) — sie erreichen unseren Server nicht.
• Als Anbieter mit aktiviertem Stripe-Konto: Stripe erhebt im Onboarding-Prozess Identitäts-, Adress-, Bank- und Steuerdaten direkt bei dir — wir haben darauf keinen Zugriff. Wir erhalten lediglich Status-Informationen (Verifizierung abgeschlossen ja/nein) sowie die Stripe-Account-ID.

Datenfluss in Drittländer: Stripe Payments Europe Ltd. mit Sitz in Irland ist primärer Vertragspartner und EU-Anbieter. Stripe nutzt für bestimmte Verarbeitungsschritte technische Dienste der Stripe Inc. (USA). Dabei kommen die EU-Standardvertragsklauseln (Modulkombination 2/3) zur Anwendung. Stripe ist zudem nach dem EU-US-Data-Privacy-Framework zertifiziert.

Auftragsverarbeitung: Mit Stripe Payments Europe Ltd. besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Speicherung der Zahlungsdaten erfolgt nach den gesetzlichen Vorgaben (PCI-DSS, Aufbewahrungspflichten).

Datenschutzhinweise von Stripe: stripe.com/de/privacy — Cookie-Hinweise von Stripe: stripe.com/de/cookies-policy/legal

9. Versand von E-Mails

Wir versenden transaktionale E-Mails (Anmelde-Links, Auftrags-Benachrichtigungen, Rechnungen) über den All-Inkl-SMTP-Server. Diese E-Mails sind zur Vertragsabwicklung erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Optional kannst du den Newsletter abonnieren. Die Anmeldung erfolgt im Double-Opt-In-Verfahren (Bestätigung per E-Mail). Du kannst den Newsletter jederzeit über den Link in jeder Newsletter-E-Mail abbestellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

10. Auto-Übersetzung von Profilen (Nodara Brain)

Wenn Freelancer keine englische Version ihres Profils pflegen, können deren öffentliche Profil-Texte über unseren internen KI-Übersetzungsdienst (Nodara Brain, betrieben durch die Nodarix GmbH) ins Englische übersetzt werden. Es werden ausschließlich öffentliche Profil-Inhalte übersetzt, keine Anfragen oder privaten Nachrichten. Eine Übermittlung an externe KI-Anbieter findet nicht statt.

11. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO) — soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen richtest du bitte an info@nodarix.de.

12. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen oder technische Gegebenheiten ändern. Die jeweils aktuelle Version findest du auf dieser Seite.