Rechtliches . Datenschutz

DATENSCHUTZ

Datenschutzerklärung gemäß Art. 13 DSGVO – Stand: 5. August 2026

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung auf dieser Website im Sinne der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) und des österreichischen Datenschutzgesetzes (DSG) ist:

Charly.rocks GmbH
Salzweg 17, 5081 Anif, Österreich

E-Mail (Datenschutz): datenschutz@charly.rocks
E-Mail (allgemein): quality@charly.rocks
Telefon: +43 4254 51525

Weitere Pflichtangaben (Firmenbuch, UID usw.) finden Sie in unserem Impressum.

Hinweis: Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht bestellt. Für datenschutzrechtliche Anliegen wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Gegenstand und Geltungsbereich

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir beim Besuch und bei der Nutzung von https://charly.rocks einschließlich zugehöriger Unterseiten (nachfolgend „Website“) verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen Daten übermittelt werden und welche Rechte Ihnen zustehen.

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO), z. B. Name, E-Mail-Adresse, IP-Adresse oder Online-Kennungen.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist oder eine gesetzliche Erlaubnis bzw. Ihre Einwilligung vorliegt.

3. Rechtsgrundlagen der Verarbeitung

Soweit in den nachfolgenden Abschnitten nicht anders angegeben, stützen wir Verarbeitungen insbesondere auf:

Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Newsletter-Anmeldung, optionale Analyse-Tools über das Cookie-Banner)
Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung bzw. vorvertragliche Maßnahmen (z. B. Bearbeitung von Kontakt- und Beratungsanfragen)
Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z. B. gesetzliche Aufbewahrungspflichten)
Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (z. B. sicherer Betrieb der Website, Missbrauchsschutz, Abwehr von Angriffen)

Bei Verarbeitungen auf Grundlage berechtigter Interessen wägen wir unsere Interessen gegen Ihre Grundrechte und Grundfreiheiten ab. Sie können der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Art. 21 DSGVO), soweit die Voraussetzungen vorliegen.

4. Hosting, Infrastruktur & Server-Logfiles

4.1 Hosting & Betrieb (Container / OKD)

Die Website wird als Container-Anwendung betrieben: Auslieferung der generierten HTML-/CSS-/JS-Dateien (Nginx) sowie eine serverseitige Kontakt-API (Node.js unter /api/contact). Der Betrieb erfolgt in einer OpenShift-/OKD-Umgebung (Container-Orchestrierung) über unsere IT-/Hosting-Infrastruktur bzw. beauftragte Infrastrukturdienstleister.

Soweit die Server- bzw. Cluster-Standorte in der Europäischen Union liegen, erfolgt durch das reine Hosting grundsätzlich keine Übermittlung in ein Drittland außerhalb des EWR allein aufgrund des Website-Betriebs. Mit den jeweils eingesetzten Infrastrukturdienstleistern bestehen bzw. werden Vereinbarungen zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen bzw. gepflegt, soweit erforderlich.

Ergänzend / Partner: Für Domain-, DNS- oder Webspace-Leistungen (auch im Kundenkontext) kann zusätzlich netcup GmbH (Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland) eingesetzt werden. Datenschutzhinweise: netcup Datenschutzerklärung. Serverstandorte von netcup befinden sich in der EU (Deutschland).

4.2 Server-Logfiles / Zugriffsdaten

Bei jedem Aufruf der Website werden durch den Hosting-/Infrastrukturanbieter und ggf. vorgeschaltete Systeme automatisch technische Zugriffsdaten in sogenannten Server-Logfiles verarbeitet. Dazu können insbesondere gehören:

IP-Adresse des anfragenden Geräts
Datum und Uhrzeit des Zugriffs
angeforderte URL / Datei
HTTP-Statuscode
übertragene Datenmenge
Referrer-URL (zuvor besuchte Seite, sofern vom Browser übermittelt)
User-Agent (Browser- und Betriebssysteminformationen)
ggf. Hostname des zugreifenden Rechners

Zweck: Bereitstellung und Auslieferung der Website, Betrieb der Kontakt-API, Gewährleistung der Systemsicherheit (z. B. Erkennung von Missbrauch, DDoS, Einbruchsversuchen), Fehleranalyse und technische Administration.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, stabilen und missbrauchsfreien Betrieb der Website).
Speicherdauer: Logdaten werden nur so lange gespeichert, wie es für die genannten Zwecke erforderlich ist, in der Regel für einen begrenzten Zeitraum von wenigen Tagen bis wenigen Wochen, sofern keine längere Aufbewahrung zur Aufklärung von Sicherheitsvorfällen erforderlich ist. Danach werden die Daten gelöscht oder anonymisiert.
Empfänger: Betreiber der Hosting-/Container-Infrastruktur (OKD) sowie ggf. weitere technisch notwendige Unterauftragsverarbeiter; soweit netcup eingebunden ist, netcup GmbH gemäß deren Datenschutzinformationen.

Eine Zusammenführung dieser Daten mit anderen Datenquellen zum Zweck der Identifizierung von Besuchern findet durch uns nicht statt.

4.3 Content Delivery / Absicherung (Cloudflare, soweit eingesetzt)

Zusätzlich zum Hosting können Dienste der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) bzw. verbundener Unternehmen für DNS, Auslieferung, Performance und/oder Schutz vor Missbrauch eingesetzt werden. In diesem Fall kann Cloudflare technische Verbindungsdaten (einschließlich IP-Adresse) verarbeiten. Details zu Turnstile und Web Analytics finden Sie in den Abschnitten 5.1 und 8.1.

Auftragsverarbeitung / Drittland: Soweit Cloudflare personenbezogene Daten in die USA übermittelt, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln) und — soweit anwendbar — einer Zertifizierung unter dem EU-U.S. Data Privacy Framework.
Weitere Informationen: Cloudflare Privacy Policy.

5. Kontaktaufnahme

5.1 Kontaktformular auf dieser Website

Wenn Sie uns über das Kontaktformular kontaktieren, verarbeiten wir die von Ihnen eingegebenen bzw. im Zusammenhang mit der Absendung anfallenden Daten:

Name
E-Mail-Adresse
gewähltes Interesse / Betreff (falls ausgewählt)
Nachrichteninhalt
Bestätigung der Kenntnisnahme der Datenschutzerklärung (Checkbox)
technische Metadaten der Übermittlung (z. B. Zeitpunkt, Spam-Schutz-Token)
Honeypot-Feld (nur zur Erkennung automatisierter Eingaben; wird bei normalen Nutzern nicht ausgewertet)

Die Übermittlung erfolgt verschlüsselt über HTTPS an unseren serverseitigen Endpoint /api/contact (betrieben in unserer Hosting-/Container-Umgebung). Es öffnet sich kein E-Mail-Programm auf Ihrem Gerät.

Bevorzugter Versandweg (Microsoft 365 / Microsoft Graph): Sofern konfiguriert, werden Nachrichten serverseitig von noreply@charly.rocks an unsere interne Inbox (z. B. quality@charly.rocks) gesendet, typischerweise mit Reply-To auf die von Ihnen angegebene Adresse. Im Browser wird hierfür kein Microsoft-Tracking-Skript und kein Microsoft-Cookie geladen. Verarbeiter ist Microsoft (Microsoft Ireland Operations Limited bzw. verbundene Unternehmen, je nach Tenant-Konfiguration). Auftragsverarbeitung und etwaige Drittlandtransfers richten sich nach den Microsoft-Produktbedingungen / Data Protection Addendum sowie geeigneten Garantien (z. B. Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework).

Fallback: Ist Microsoft Graph nicht konfiguriert, kann die Zustellung hilfsweise über den Formular-Dienst FormSubmit (formsubmit.co, FormSubmit LLC) an quality@charly.rocks erfolgen. Dabei kann eine Übermittlung in Drittländer (insbesondere USA) stattfinden. Weitere Informationen: Datenschutzhinweise auf formsubmit.co.

Spam-Schutz (Cloudflare Turnstile)

Zum Schutz vor automatisierten Anfragen setzen wir Cloudflare Turnstile der Cloudflare, Inc. ein. Dabei wird ein Token an Cloudflare zur Prüfung übermittelt; technisch erforderliche Verbindungsdaten (z. B. IP-Adresse) können verarbeitet werden. Turnstile kann technisch erforderliche Cookies oder ähnliche Speicherungen auf Cloudflare-Domains setzen. Das Turnstile-Skript wird erst geladen, wenn das Kontaktformular im sichtbaren Bereich ist bzw. für den Versand benötigt wird.

Turnstile ist technisch notwendiger Missbrauchsschutz und nicht Bestandteil der optionalen Cookie-Kategorien Analytik/Marketing.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Spam und Missbrauch).

Zweck der Formularverarbeitung insgesamt: Bearbeitung und Beantwortung Ihrer Anfrage, Dokumentation der Kommunikation im erforderlichen Umfang, Missbrauchsschutz.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen / Anbahnung), hilfsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).
Speicherdauer: bis zur abschließenden Bearbeitung Ihres Anliegens; darüber hinaus längstens 24 Monate, sofern keine gesetzlichen Aufbewahrungspflichten (z. B. handels- oder steuerrechtlich) eine längere Speicherung erfordern.
Pflicht zur Bereitstellung: Die Angabe von Name, E-Mail und Nachricht ist für die Nutzung des Formulars erforderlich. Ohne diese Angaben können wir Ihre Anfrage nicht bearbeiten.

Weitere Informationen: Cloudflare Privacy Policy, Microsoft Privacy Statement.

5.2 Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder telefonisch kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, Kontaktdaten, Inhalt der Nachricht bzw. des Gesprächs), soweit dies zur Bearbeitung Ihres Anliegens erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.
Speicherdauer: bis zum Abschluss des Geschäftsvorfalls; darüber hinaus gemäß gesetzlicher Aufbewahrungsfristen.

5.3 Erstgespräch / externe Buchungsplattform

Für die Buchung eines kostenlosen Erstgesprächs verlinken wir auf unsere externe Plattform fananalyse.charly.rocks. Beim Aufruf und bei der Nutzung dieser Plattform gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Es kann zu einer eigenständigen Datenverarbeitung durch den Plattformbetreiber und ggf. zu einer Übermittlung außerhalb der EU/des EWR kommen. Bitte prüfen Sie vor Nutzung die dortigen Hinweise.

Sie können sich über Links bzw. Buttons auf unserer Website (z. B. im Footer und im Blog-Bereich) für unseren Newsletter anmelden. Die Anmeldung erfolgt über ein Formular des Anbieters MailerLite (derzeit als externe Formularseite / Share-URL; ggf. künftig auch als eingebettetes Formular auf unserer Website).

Verarbeiter / Dienstleister:
MailerLite (MailerLite Limited / verbundene Unternehmen, u. a. mit Sitz in der EU; je nach Konfiguration können auch US-Gesellschaften beteiligt sein).
Weitere Informationen: MailerLite Privacy Policy.

Verarbeitete Daten (typischerweise):

E-Mail-Adresse
Einwilligungsangaben (z. B. Bestätigungs-Checkbox, Marketing-Einwilligung)
Zeitpunkt der Anmeldung bzw. Bestätigung (Double Opt-in)
technische Metadaten der Übermittlung (z. B. IP-Adresse, Browser-/Geräteinformationen), soweit MailerLite diese zur Bereitstellung, Sicherheit und Missbrauchsabwehr verarbeitet
ggf. Spam-Schutzdaten (Google reCAPTCHA), sofern im Formular aktiviert

Sofern Google reCAPTCHA im MailerLite-Formular aktiviert ist, werden zur Unterscheidung von Mensch und Bot Daten an Google Ireland Limited / Google LLC übermittelt (u. a. IP-Adresse, Browser-/Geräteinformationen, Interaktionsdaten). Weitere Informationen: Google Privacy Policy, Google reCAPTCHA.

Zweck: Versand unseres Newsletters mit Informationen zu SEO, Google Business, digitalen Wachstumsthemen und Unternehmensneuigkeiten. Der Versand erfolgt in der Regel ca. alle drei Monate.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Anmeldung erfolgt mit Double Opt-in: Nach dem Eintragen erhalten Sie eine Bestätigungs-E-Mail und müssen den Link darin bestätigen, bevor Sie in die Verteilerliste aufgenommen werden.

Widerruf / Abmeldung: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink in jeder Newsletter-E-Mail oder durch Nachricht an quality@charly.rocks bzw. datenschutz@charly.rocks. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Speicherdauer: Wir speichern Ihre E-Mail-Adresse und den Einwilligungsnachweis, solange Sie den Newsletter abonniert haben. Nach Abmeldung löschen bzw. sperren wir die Adresse für den Versand; Nachweise zur Einwilligung können wir im erforderlichen Umfang länger aufbewahren (z. B. zur Nachweisbarkeit, typischerweise bis zu 3 Jahre nach Widerruf), soweit keine längeren gesetzlichen Pflichten bestehen.

Pflicht zur Bereitstellung: Die Angabe der E-Mail-Adresse ist für die Newsletter-Anmeldung erforderlich. Ohne Angabe bzw. ohne Bestätigung (Double Opt-in) können wir den Newsletter nicht zusenden.

Auftragsverarbeitung / Drittland: MailerLite verarbeitet die Daten in unserem Auftrag bzw. als Anbieter des Newsletter-Dienstes. Soweit eine Übermittlung in Drittländer (insbesondere USA) erfolgt, stützt sich dies auf geeignete Garantien gemäß Art. 46 DSGVO (z. B. EU-Standardvertragsklauseln) und — soweit anwendbar — Zertifizierungen unter dem EU-U.S. Data Privacy Framework bzw. Ihre Einwilligung.

6. Cookies, lokale Speicherung & Einwilligungsmanagement

6.1 Allgemeines

Unsere Website setzt keine Tracking-Cookies zu Analyse- oder Werbezwecken ohne Ihre vorherige Einwilligung. Technisch notwendige Speichervorgänge können ohne Einwilligung erfolgen, soweit sie für den Betrieb der Website unerlässlich sind (vgl. auch § 165 Abs. 3 TKG 2021 analog zur Cookie-/Endgeräte-Regelung).

6.2 Technisch notwendige Speicherung

Schlüssel	Speicher	Zweck	Kategorie
`theme`	`localStorage`	Speichert Ihre Anzeigepräferenz (hell / dunkel / System)	Notwendig
`cookieConsent`	`localStorage`	Speichert Ihre Cookie-/Einwilligungsentscheidung (JSON inkl. Version und Zeitstempel)	Notwendig
`floatingBannerShown`	`sessionStorage`	Merkt sich, ob der Desktop-Hinweis in diesem Tab bereits angezeigt wurde	Notwendig / UX
`floatingBannerDismissed`	`sessionStorage`	Merkt sich, ob Sie den Desktop-Hinweis geschlossen haben (nur dieser Tab)	Notwendig / UX

Diese Werte werden lokal in Ihrem Browser gespeichert und von uns nicht als Tracking-Profil ausgewertet. Das Floating Banner wird auf mobilen Geräten nicht geladen.

Beim ersten Besuch erscheint ein Cookie-Banner. Sie können wählen:

„Nur notwendige“ — es werden keine Analyse- oder Marketing-Tools geladen
„Auswahl speichern“ — individuelle Kategorien per Checkbox
„Alles akzeptieren“ — alle optionalen Kategorien werden aktiviert

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, indem Sie im Footer auf „Cookie-Einstellungen“ klicken. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Optionale Kategorien:

Analytik — Cloudflare Web Analytics (siehe Abschnitt 8.1)
Marketing — Platzhalter für künftige Conversion-/Kampagnen-Tools. Derzeit ist kein Marketing-Tracking aktiv; eine Zustimmung speichert nur Ihre Präferenz, es wird kein zusätzliches Marketing-Skript geladen

Rechtsgrundlage für optionale Tools: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

7. Schriftarten (selbst gehostet)

Wir verwenden selbst gehostete Schriftarten (u. a. Inter und Oswald als lokale Fontdateien unter /fonts/). Die Schriftdateien werden über unser Website-Hosting (OKD-/Container-Betrieb) ausgeliefert.

Auf den öffentlichen Marketing-Seiten findet kein Abruf von Google Fonts oder anderen externen Schrift-CDNs statt. Dadurch werden beim Laden der Schriften keine personenbezogenen Daten an Google übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen, performanten und datensparsamen Darstellung).

8. Analyse- & Marketing-Tools

8.1 Cloudflare Web Analytics

Zur Messung von Seitenaufrufen, Reichweite, Nutzungsstatistiken und Performance (z. B. Ladezeiten / Core Web Vitals) setzen wir — sofern konfiguriert — Cloudflare Web Analytics der Cloudflare, Inc. ein. Es handelt sich nicht um Google Analytics.

Typischerweise erfasste bzw. abgeleitete Informationen (aggregiert / privacy-orientiert, je nach Cloudflare-Konfiguration):

aufgerufene Seiten / Pfade und Zeitpunkt
ungefähre Besucherzahlen und Seitennutzung
Referrer
grobe Geräte-, Browser- und Verbindungskennzahlen
Performance-Kennzahlen (z. B. Core Web Vitals)

Der JavaScript-Beacon (static.cloudflareinsights.com/beacon.min.js) wird ausschließlich nach Ihrer Einwilligung in der Cookie-Kategorie Analytik geladen. Ohne Einwilligung wird der Beacon nicht eingebunden. Widerrufen Sie die Einwilligung, entfernen wir den Beacon wieder. Bei Client-seitiger Navigation (View Transitions) können auch diese Seitenaufrufe erfasst werden (spa-Modus), sofern der Beacon aktiv ist.

Cloudflare Web Analytics ist nach Angaben von Cloudflare auf aggregierte, privacy-orientierte Messwerte ausgelegt und setzt für die Messung keine klassischen Tracking-Cookies. Wir behandeln den Einsatz dennoch als einwilligungsbedürftig (Art. 6 Abs. 1 lit. a DSGVO), weil ein Drittanbieter-Skript geladen und Nutzungsdaten an Cloudflare übermittelt werden können.

Kein Einsatz ohne Token: Der Beacon wird nur geladen, wenn serverseitig ein gültiger Cloudflare-Analytics-Token konfiguriert ist.

Auftragsverarbeitung / Drittland: siehe Abschnitt 4.3.
Weitere Informationen: Cloudflare Privacy Policy, Cloudflare Web Analytics.

8.2 Marketing

Marketing- bzw. Conversion-Tools würden nur nach Einwilligung in die Kategorie Marketing geladen. Derzeit ist kein separates Marketing-Tracking aktiv. Sobald Tools aktiviert werden, aktualisieren wir diesen Abschnitt vorab.

8.3 Weitere Analyse-Dienste

Zusätzliche Dienste (z. B. Google Analytics 4) würden ebenfalls nur nach Einwilligung über das Cookie-Banner eingesetzt und hier dokumentiert.

9. Eingebettete Inhalte & externe Dienste

9.1 Externe Medien / 3D-Rundgänge (Matterport)

Matterport 3D-Rundgänge

Auf unserer Website sind virtuelle 3D-Rundgänge des Dienstes Matterport eingebunden. Matterport ist ein Produkt bzw. Dienst von CoStar. Die Tour wird erst nach Ihrem Klick (z. B. „3D Tour Starten“) in einem iframe nachgeladen — typischerweise über unsere Tour-Plattform my.charly.rocks, die den Matterport-/Showcase-Inhalt bereitstellt bzw. weiterleitet. Beim Laden der Tour wird eine Verbindung zu Servern von Matterport/CoStar hergestellt, damit der 3D-Rundgang angezeigt werden kann.

Dabei können technische Nutzungs- und Verbindungsdaten verarbeitet werden, insbesondere eine anonymisierte IP-Adresse, aus der IP-Adresse abgeleitete Standortinformationen wie Stadt und Land, Browser- und Geräteinformationen, Betriebssystem, Gerätetyp, Bildschirmgröße, Datum, Uhrzeit, Zeitzone, Browsersprache sowie Interaktionen innerhalb des 3D-Rundgangs. Matterport gibt an, bei nicht eingeloggten Besucher:innen keine Cookies in Showcase zu setzen, jedoch Local Storage für Nutzereinstellungen zu verwenden. Zusätzlich können Analyse- und Logdaten verarbeitet werden, um die Funktion, Sicherheit, Verfügbarkeit und Verbesserung des Dienstes zu gewährleisten.

Die Verarbeitung kann auch außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgen. Nach Angaben von CoStar/Matterport können personenbezogene Daten insbesondere in die USA übertragen oder dort gespeichert werden. CoStar nennt außerdem regelmäßige Verarbeitung in Großbritannien, Australien, Neuseeland, der Schweiz, Indien und den Philippinen. Matterport setzt zudem Unterauftragsverarbeiter ein, darunter Amazon Web Services als Cloud-Anbieter in den USA.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch bewussten Klick / Start der Tour). Soweit durch die Einbindung Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden (z. B. Local Storage), erfolgt dies zusätzlich auf Grundlage von § 165 Abs. 3 TKG 2021. Nach österreichischer Datenschutzbehörde dürfen technisch nicht notwendige Cookies bzw. vergleichbare Zugriffe auf Endgeräte grundsätzlich erst nach Einwilligung erfolgen.

Widerruf: Sie können die Tour jederzeit beenden bzw. die Seite verlassen und den Inhalt nicht erneut starten. Allgemeine Cookie-/Datenschutzeinstellungen dieser Website steuern die optionalen Website-Kategorien (Analytik/Marketing); das Nachladen der Tour selbst erfolgt erst nach Ihrem Klick.

Weitere Informationen:

9.2 Bilder und Mediendateien

Stock-, Hero-, Produkt- und sonstige Website-Bilder werden lokal über unser Hosting ausgeliefert. Beim Laden dieser Dateien findet keine Verbindung zu externen Bild-CDNs (z. B. Unsplash) statt.

Auf der Website befinden sich Verlinkungen zu unseren Profilen (z. B. Facebook, Instagram). Beim bloßen Vorhandensein oder Anzeigen der Links werden keine Daten an die Netzwerke übermittelt. Erst wenn Sie die verlinkte Plattform aufrufen, gelten deren Datenschutzbestimmungen und es kann zu einer Datenverarbeitung durch den jeweiligen Anbieter kommen.

9.4 Google Maps (Standorte)

Auf Seiten wie Standorte können Karten über Google Maps (Google Ireland Limited / Google LLC) eingebunden werden. Die Karte wird erst nach Ihrem Klick („Karte laden“) nachgeladen (Click-to-Load). Erst dann stellt Ihr Browser eine Verbindung zu Google her; dabei können u. a. IP-Adresse und Geräteinformationen an Google übermittelt werden. Es kann zu einer Übermittlung in die USA kommen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch bewussten Klick).
Weitere Informationen: Google Privacy Policy.

Buttons bzw. Links zur Newsletter-Anmeldung führen auf eine von MailerLite bereitgestellte Formularseite (derzeit Share-/Preview-URL unter Domains von MailerLite, z. B. preview.mailerlite.io). Beim Aufruf dieser Seite und bei der Nutzung des Formulars werden Daten durch MailerLite verarbeitet (siehe Abschnitt 5.4). Auf unserer Website selbst wird für die Anmeldung derzeit kein MailerLite-Tracking-Skript dauerhaft geladen; die Verbindung zu MailerLite entsteht, wenn Sie den Newsletter-Link bzw. -Button nutzen.

9.6 Vimeo (Rock Clips)

Auf einzelnen Seiten (z. B. Startseite, Rock Clip) können Beispiel-Videos („Rock Clips“) abgespielt werden. Die Videos werden erst nach Ihrem Klick in einem Modal als Embed von Vimeo geladen (player.vimeo.com). Vorschaubilder werden lokal ausgeliefert; erst beim Abspielen stellt Ihr Browser eine Verbindung zu Vimeo her.

Anbieter: Vimeo.com, Inc. bzw. verbundene Unternehmen (u. a. mit Sitz in den USA).
Dabei können technische Daten (z. B. IP-Adresse, Browser-/Geräteinformationen, Abspielstatistiken) an Vimeo übermittelt werden. Vimeo kann Cookies oder ähnliche Technologien setzen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch bewussten Klick / Start des Videos).
Drittland: Es kann zu einer Übermittlung in die USA kommen; geeignete Garantien bzw. Zertifizierungen richten sich nach den Angaben von Vimeo.
Weitere Informationen: Vimeo Privacy Policy.

10. Empfänger, Auftragsverarbeitung & Drittlandübermittlungen

10.1 Kategorien von Empfängern

Personenbezogene Daten können insbesondere an folgende Kategorien von Empfängern übermittelt werden, soweit dies für die jeweilige Verarbeitung erforderlich ist:

Hosting- und Infrastrukturdienstleister (OKD-/Container-Betrieb; ggf. netcup GmbH)
IT-/Sicherheits- und CDN-Dienste (Cloudflare, soweit eingesetzt)
Formular- bzw. E-Mail-Dienstleister (Microsoft 365 / Microsoft Graph als bevorzugter Versandweg; hilfsweise FormSubmit)
Newsletter-Dienstleister (MailerLite; ggf. Google bei aktiviertem reCAPTCHA)
Video-/Embed-Dienste (Vimeo — erst nach Ihrem Klick)
3D-Rundgang-/Showcase-Dienste (Matterport / CoStar, ggf. über my.charly.rocks — erst nach Ihrem Klick)
Karten-/Suchdienste (Google Maps — erst nach Ihrem Klick)
Behörden, soweit wir gesetzlich dazu verpflichtet sind

10.2 Übermittlungen in Drittländer

Eine Übermittlung personenbezogener Daten in Drittländer (insbesondere die USA) kann insbesondere in folgenden Fällen erfolgen:

Cloudflare (DNS/CDN/Schutz, Turnstile, Web Analytics — Analytics nur nach Einwilligung)
Microsoft 365 / Microsoft Graph (bevorzugter Formular-E-Mail-Versand)
FormSubmit (Fallback für Formular-E-Mail-Versand)
MailerLite (Newsletter-Anmeldung und -Versand — nur nach Ihrer Einwilligung / Double Opt-in)
Google (reCAPTCHA im Newsletter-Formular, sofern aktiviert; Google Maps — erst nach Klick)
Vimeo (Rock-Clip-Embeds — erst nach Ihrem Klick)
Matterport / CoStar (3D-Rundgänge / Showcase — erst nach Ihrem Klick; u. a. USA und weitere genannte Standorte, inkl. AWS)

Für das Hosting (OKD-/Container-Betrieb in der EU; ggf. netcup) gilt Abschnitt 4.1.

Soweit erforderlich, stützen wir Drittlandübermittlungen auf geeignete Garantien gemäß Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln) und — soweit anwendbar — Zertifizierungen unter dem EU-U.S. Data Privacy Framework bzw. auf Ihre Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), wo dies vorgesehen ist.

11. Speicherdauer (Überblick)

Soweit in den jeweiligen Abschnitten keine konkretere Frist genannt ist, speichern wir personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist, und löschen oder anonymisieren sie anschließend, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Typische Orientierungszeiten:

Server-Logs: wenige Tage bis wenige Wochen
Kontaktanfragen: bis zur Erledigung, längstens 24 Monate (soweit keine längere Pflicht)
Newsletter (MailerLite): bis zur Abmeldung; Einwilligungsnachweis ggf. länger (siehe Abschnitt 5.4)
Einwilligungsnachweis (cookieConsent): solange in Ihrem Browser gespeichert bzw. bis Widerruf/Änderung

12. Ihre Rechte

Sie haben gegenüber uns — soweit die gesetzlichen Voraussetzungen vorliegen — folgende Rechte:

Auskunft über die von uns verarbeiteten personenbezogenen Daten (Art. 15 DSGVO)
Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
Löschung („Recht auf Vergessenwerden“), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. e oder lit. f DSGVO gestützt werden, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO); bei Direktwerbung steht Ihnen ein Widerspruchsrecht jederzeit zu (Art. 21 Abs. 2 DSGVO) — derzeit setzen wir kein Marketing-Tracking ein
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Wahrnehmung Ihrer Rechte wenden Sie sich bitte an: datenschutz@charly.rocks

Wir werden Ihr Anliegen innerhalb der gesetzlichen Fristen prüfen und beantworten. Zur Bearbeitung können wir einen Nachweis Ihrer Identität verlangen, soweit dies erforderlich und verhältnismäßig ist.

13. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Zuständige Aufsichtsbehörde in Österreich:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Website: www.dsb.gv.at
E-Mail: dsb@dsb.gv.at
Telefon: +43 1 52 152-0

14. Datensicherheit

Wir treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos geeignete technische und organisatorische Maßnahmen (TOM) zum Schutz Ihrer personenbezogenen Daten (Art. 32 DSGVO). Dazu gehören insbesondere:

Transportverschlüsselung (HTTPS / TLS)
Zugriffsbeschränkungen und Berechtigungskonzepte
regelmäßige Aktualisierung von Systemen und Abhängigkeiten
datensparsame Konfiguration (z. B. selbst gehostete Fonts, Click-to-Load für Karten/Touren)
Einwilligungssteuerung für optionale Analyse-Tools

Eine absolute Sicherheit kann gleichwohl nicht gewährleistet werden.

15. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

16. Minderjährige

Unsere Website richtet sich nicht an Personen unter 14 Jahren. Wir fordern wissentlich keine personenbezogenen Daten von Minderjährigen an. Wenn Sie als Erziehungsberechtigter feststellen, dass uns Daten eines Minderjährigen übermittelt wurden, kontaktieren Sie uns bitte unter datenschutz@charly.rocks, damit wir die Daten löschen können.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich unsere Website, eingesetzte Dienste, Verarbeitungszwecke oder die Rechtslage ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Das Datum des letzten Stands finden Sie im Kopfbereich bzw. als Stand-Angabe dieser Erklärung.

Stand: 5. August 2026

Charly.rocks GmbH · Stand: 5. August 2026