Datenschutzerklärung

Stand: 06.10.2026

Verantwortlich

bright color Mathias Simon Brockesstr. 40, 23554 Lübeck E-Mail: info@bright-color.de Telefon: +49 152 53 49 00 67

Einen Datenschutzbeauftragten haben wir nicht benannt. Wir sind dazu nicht verpflichtet: Wir beschäftigen weniger als zwanzig Personen ständig mit automatisierter Verarbeitung, und unsere Kerntätigkeit besteht weder in umfangreicher Überwachung noch in der Verarbeitung besonderer Datenkategorien.

Kurz vorab

Wir verarbeiten Ihre Daten, um Ihnen Webspace und unsere Dienste wie vip-invites zu verkaufen, bereitzustellen und abzurechnen. Neue Konten in den Diensten prüfen wir vor dem ersten Versand (Abschnitt 2). Wir verkaufen keine Daten, wir betreiben keine Werbenetzwerke, und wir setzen keine Analyse- oder Trackingdienste ein.

Was Sie auf Ihrem Webspace speichern, sehen wir nicht an. Wir verarbeiten es ausschliesslich in Ihrem Auftrag; die Regeln dafür stehen in einem eigenen Vertrag zur Auftragsverarbeitung, den Sie im Kundenbereich herunterladen können.

1. Aufruf der Website

Bei jedem Aufruf speichert der Webserver:

IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite und Angaben zu Browser und Betriebssystem.

Zweck: Auslieferung der Seite, Betriebssicherheit, Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein funktionierender und abgesicherter Betrieb. Löschung: nach [7] Tagen.

2. Kundenkonto und Bestellung

Daten: Anrede, Vor- und Nachname, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, USt-IdNr. bei Geschäftskunden, Passwort (nur als Hashwert), Bestellungen, Verträge, Zahlungsaufforderungen, Kündigungen.

Zweck: Abschluss und Durchführung des Vertrags. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Löschung: 30 Tage nach Vertragsende löscht unser Löschlauf Ihren Webspace und Ihre Konten in unseren Diensten mit allem, was Sie dort angelegt haben. Im Kundenpanel bleiben Ihr Kundenkonto, Ihre Verträge und Zahlungsaufforderungen, der Vorgang der Freigabe (siehe unten) und das Protokoll der Aufrufe an die Dienste. Ihre Rechnungen und Buchungsbelege bewahrt unsere Buchhaltung (Abschnitt 4) zehn Jahre auf (§ 147 AO, § 257 HGB); während dieser Zeit sind sie gesperrt und werden nur noch für steuerliche Zwecke verwendet. Möchten Sie Ihr Kundenkonto gelöscht haben, schreiben Sie uns an info@bright-color.de. Wir löschen dann alles, was keiner Aufbewahrungspflicht unterliegt.

E-Mail-Bestätigung: Wir schicken Ihnen bei der Registrierung eine E-Mail mit einem Bestätigungslink. Einen bestellten Dienst richten wir erst nach der Bestätigung ein, und weitere Bestellungen nehmen wir erst danach an. Zweck ist die Prüfung, dass die Adresse Ihnen gehört.

Dienste wie vip-invites

Starten Sie einen unserer Dienste, etwa vip-invites, legt das Kundenpanel dort ein Konto für Ihre Organisation an. Dafür übermitteln wir Vor- und Nachname, E-Mail-Adresse, Organisation, Kundenart und Sprache, dazu den gebuchten Tarif mit seinen Grenzen, die Vertragsnummer und ob das Konto freigegeben ist. Danach meldet das Kundenpanel dem Dienst Tarifwechsel, Sperre, Kündigung und Löschung. Die Dienste laufen auf unseren eigenen Servern bei der netcup GmbH (Deutschland). Was Sie im Dienst selbst anlegen, etwa Gästelisten, verarbeiten wir in Ihrem Auftrag; dafür gilt der Vertrag zur Auftragsverarbeitung des Dienstes, dem Sie bei der Bestellung zustimmen. Ihre Zustimmung speichern wir mit Wortlaut, Zeitpunkt und IP-Adresse am Vertrag.

Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Löschung: Nach Vertragsende kündigen wir das Konto im Dienst. 30 Tage nach Vertragsende löscht unser Löschlauf das Konto mit allem, was Sie dort angelegt haben. Ihr Vertrag und das Protokoll der Aufrufe an die Dienste bleiben im Kundenpanel, bis wir Ihr Kundenkonto auf Ihren Wunsch löschen (Abschnitt 2).

Freigabe eines neuen Kontos

Bevor ein neues Konto in einem Dienst wie vip-invites Einladungen verschicken darf, prüfen wir Ihre E-Mail-Adresse in dieser Reihenfolge: ob die Adresse oder ihre Domain auf unserer Sperrliste steht, ob die Domain auf unserer Vertrauensliste steht, ob sie zu einem bekannten Freemail- oder Wegwerfanbieter gehört und zuletzt, ob sie einen MX-Eintrag hat und unter ihr eine Website antwortet. Die erste Prüfung, die zutrifft, entscheidet. Für die letzte fragt unser Server das DNS ab und ruft die Startseite der Domain auf, je nach Einstellung auch die Adresse mit www davor. Die Liste der Wegwerfanbieter gleicht unser Server einmal am Tag mit einer öffentlichen Liste im Netz ab; dabei verlassen keine Daten von Ihnen unseren Server.

Trifft die Vertrauensliste zu oder finden wir MX-Eintrag und Website, ist das Konto sofort frei. In allen anderen Fällen entscheidet ein Mensch über Freigabe oder Ablehnung (Art. 22 DSGVO). Eine Ablehnung trifft immer ein Mensch, auch bei einem Konto, das die Prüfung schon freigegeben hat.

Lehnen wir ein Konto ab, kündigen wir es im Dienst und schreiben Ihnen den Grund per E-Mail. Die Domain der Adresse kann dabei auf unsere Sperrliste kommen; über neue Konten mit dieser Domain entscheidet dann ebenfalls ein Mensch.

Zweck: Missbrauch des Versands verhindern, etwa Spam über Einladungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein Versand, dem Empfänger und Mailanbieter vertrauen. Löschung: Lehnen wir ein Konto ab, löscht unser Server seine Daten im Dienst spätestens 14 Tage nach der Ablehnung. Den Vorgang der Freigabe mit Adresse, Domain, Ergebnis der Prüfung, Entscheidung und Grund behalten wir im Kundenpanel, bis wir Ihr Kundenkonto auf Ihren Wunsch löschen (Abschnitt 2).

3. Schutz der Formulare (Cap)

Registrierung und Passwort-Zurücksetzen sind mit Cap abgesichert, einem Rechenrätsel, das Ihr Browser löst.

Cap läuft auf unserem eigenen Server unter cap.bcsrv.de in der Oracle Cloud, Region Frankfurt (Deutschland). Es gibt kein Google reCAPTCHA und keinen anderen fremden Dienst; auch die Programmdateien des Widgets liefern wir selbst aus. An Cap geht Ihre IP-Adresse und die Lösung des Rätsels, sonst nichts.

Zweck: Abwehr automatisierter Anmeldungen und Massenmails. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Löschung: Die Rätsel verfallen nach Minuten; Protokolle nach [7] Tagen.

4. Rechnungen und Zahlungen

Die Rechnungen schreibt unsere eigene Buchhaltung, erreichbar unter invcr.de. Sie läuft auf demselben Server wie das Kundenpanel.

Daten: Rechnungsempfänger und Anschrift, Positionen, Beträge, Zahlungen, Zahlungsweg, bei Lastschrift die Mandatsreferenz.

SEPA-Lastschrift

Das Mandat erteilen Sie auf einer Seite von GoCardless (GoCardless Ltd., Vereinigtes Königreich, und GoCardless SAS, Frankreich). Ihre Bankverbindung geben Sie dort ein; wir bekommen sie nicht zu sehen, sondern nur die Referenz des Mandats und den Zustand der Einzüge.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Drittland: Für das Vereinigte Königreich hat die EU-Kommission einen Angemessenheitsbeschluss erlassen; eine zusätzliche Grundlage ist nicht nötig.

5. Betrieb Ihres Webspace

Ihren Webspace richten wir auf einem Server bei der Hetzner Online GmbH (Deutschland) ein. Dabei entstehen Zugriffs- und Fehlerprotokolle, die auch IP-Adressen Ihrer Besucher enthalten können, sowie die Zugangsdaten für FTP, Datenbanken und Postfächer.

Für die Daten, die Sie oder Ihre Besucher dort ablegen, sind Sie verantwortlich; wir verarbeiten sie in Ihrem Auftrag nach Art. 28 DSGVO.

6. Kündigung und Widerruf

Wenn Sie kündigen oder widerrufen, speichern wir Ihre Erklärung mit Inhalt, Eingangszeitpunkt und IP-Adresse.

Zweck: Nachweis, wann welche Erklärung eingegangen ist — das schützt beide Seiten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f DSGVO. Löschung: drei Jahre nach Ende des Vertrags, entsprechend der regelmässigen Verjährung.

7. Support

Wenn Sie uns schreiben, verarbeiten wir Ihre Nachricht und die Kontaktdaten, die darin stehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO. Löschung: zwei Jahre nach Abschluss des Vorgangs, soweit keine Aufbewahrungspflicht besteht.

8. Cookies

Das Panel setzt ein einziges Cookie: die Sitzungskennung, damit Sie angemeldet bleiben. Es ist technisch notwendig, verfällt beim Abmelden oder nach Ablauf der Sitzung, und es braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

Analyse, Reichweitenmessung oder Werbung gibt es hier nicht — deshalb auch kein Einwilligungsbanner.

9. Wer Ihre Daten sonst noch bekommt

E-Mails verschicken wir selbst. Bestellbestätigungen, Rechnungen, Erinnerungen, die Mail zu einer Ablehnung in der Freigabe und die Eingangsbestätigungen für Kündigung und Widerruf gehen über unseren eigenen Mailserver hinaus; ein fremder Versanddienst ist daran nicht beteiligt. Der Server hält den Kopf einer Nachricht 60 Tage und ihren vollständigen Inhalt 30 Tage vor, damit sich eine Zustellung nachvollziehen lässt, und löscht danach von selbst. Ab dem Moment der Zustellung liegt Ihre Nachricht bei dem Anbieter, bei dem Sie Ihr Postfach führen.

Mit den Dienstleistern, die für uns verarbeiten, bestehen Verträge nach Art. 28 DSGVO. Für Cloudflare stützen wir die Übermittlung in die USA auf die Standardvertragsklauseln der EU-Kommission; das Unternehmen ist ausserdem nach dem EU-US Data Privacy Framework zertifiziert.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21).

Eine Nachricht an info@bright-color.de genügt.

Sie können sich ausserdem bei einer Aufsichtsbehörde beschweren. Zuständig ist die Behörde Ihres Wohnorts oder unseres Sitzes: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel.

11. Änderungen

Ändert sich die Verarbeitung, ändern wir diese Erklärung. Massgeblich ist die jeweils hier veröffentlichte Fassung; das Datum oben sagt, welche das ist.