Datenschutzerklärung für Marginwerk

Stand: 14. Oktober 2026

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Marginwerk Michael Widmann Einzelunternehmen Aidenbachstraße 115 81379 München Deutschland

E-Mail: kontakt@marginwerk.de Telefon: +49 89 27780106

Ein Datenschutzbeauftragter ist nicht bestellt.

Für eigene Zwecke – insbesondere öffentliche Website, Beta-Anfragen, kommerzielle Registrierung, Konto- und Sitzungsverwaltung, Vertrag, Zahlung, Rechnung, Authentifizierung, Sicherheit und Serviceadministration – ist Marginwerk Verantwortlicher. Enthalten vom Kunden bestimmte Workspace-Daten personenbezogene Daten Dritter, bestimmt regelmäßig der Kunde deren Zwecke. Marginwerk verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf dokumentierte Weisung des Kunden.

2. Hosting und technische Bereitstellung

Die öffentliche Website und die Anwendung werden auf Infrastruktur der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, betrieben. Hetzner stellt deutsche Rechen-, Datenbank-, private Objekt- sowie getrennte Sicherungsinfrastruktur bereit und verarbeitet personenbezogene Daten auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Beim Aufruf werden technisch notwendige Protokolldaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, übertragene Datenmenge, Browser- und Betriebssystemangaben, eine übermittelte Referrer-URL sowie Fehler- und Sicherheitsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in sicherer, stabiler Bereitstellung und Missbrauchsabwehr.

3. Öffentliche Website und GoatCounter

Auf der öffentlichen Website verwenden wir GoatCounter für datensparsame Reichweitenmessung. Erfasst werden Seitenaufrufe und fest bezeichnete Linkklicks, nicht jedoch Formularinhalte, E-Mail-Adressen, Nutzer- oder Workspace-Kennungen oder URL-Abfrageparameter. Analyse-Cookies und dauerhafte Besucherkennungen werden nicht eingesetzt.

Anbieter ist GoatCounter.com, betrieben von Martin Tournoij in Irland. Nach Anbieterangaben werden die Daten auf Hetzner-Servern in Deutschland und Finnland verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse liegt in der datensparsamen Verbesserung der öffentlichen Website. Weitere Informationen: Datenschutzerklärung von GoatCounter.

4. Beta-Zugang

Für eine Beta-Anfrage verarbeiten wir E-Mail-Adresse, Betriebs- oder Unternehmensname und eine freiwillige Nachricht. Die Angaben dienen ausschließlich der Bearbeitung und Kommunikation über einen möglichen Beta-Zugang. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheits- und Missbrauchsschutz beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Eine Beta-Anfrage ist keine Newsletter-Einwilligung.

5. Kommerzielle Registrierung und Konto

Für die kommerzielle Registrierung verarbeiten wir E-Mail-Adresse, Passwort-Hash, E-Mail-Verifizierungsstatus, gesetzlichen Unternehmensnamen, deutsche Rechnungsanschrift, Name und Rolle der vertretenden Person, Workspace-Zuordnung, Sitzungs- und Sicherheitsdaten. Die Angaben sind für Kontoerstellung, B2B-Eignungsprüfung und Vertragsanbahnung erforderlich. Eine Selbsterklärung wird gespeichert, aber nicht als unabhängiger Register- oder Vertretungsnachweis dargestellt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Konto-, Sicherheits- und Missbrauchsschutzmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Unverifizierte Konten erhalten keinen operativen Zugang.

6. Vertragsannahme

Wir speichern die unveränderliche Fassung der angenommenen AGB einschließlich einbezogener Anlagen, die getrennte B2B- und Vertretungserklärung, Dokument- und Inhaltskennungen, Workspace- und Nutzerzuordnung, Kontext, Zeitstempel sowie technische Idempotenz- und Integritätsnachweise. Dies dient Vertragsschluss, Nachweis, Abwehr mehrfacher oder widersprüchlicher Annahmen und Rechtsverteidigung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

7. Technisch erforderliche Cookies und Browspeicher

In app.marginwerk.de werden mw_session für die Anmeldung, mw_csrf zum Schutz vor missbräuchlichen Anfragen, mw-sidebar-collapsed für die aktuelle Darstellungswahl sowie temporärer sessionStorage für Listennavigation eingesetzt. Sie dienen nicht Werbung, Profilbildung oder websiteübergreifendem Tracking. Soweit der Endgerätezugriff für den ausdrücklich gewünschten Dienst erforderlich ist, beruht er auf § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

8. Workspace- und Geschäftsdaten

Im Workspace verarbeitet Marginwerk insbesondere Lieferanten-, Artikel-, Einkaufs-, Vorprodukt-, Rezeptur-, Menü-, Verkaufs-, Kalkulations-, Historien-, Analyse- und Exportdaten. Nicht jedes Feld enthält personenbezogene Daten. Soweit der Kunde personenbezogene Daten Dritter eingibt, ist er regelmäßig Verantwortlicher; Marginwerk verarbeitet diese Daten zur Produktbereitstellung nach der Vereinbarung zur Auftragsverarbeitung.

Dokument-OCR und KI-gestützte Extraktion gehören nicht zum aktuellen Angebot. Der dafür früher geprüfte Anbieter Mistral AI ist im aktuellen Dienst technisch nicht aktiviert und erhält keine Workspace-Dokumente.

9. Transaktions-E-Mails

Für Einladungen, Verifizierung, Passwort-Zurücksetzung und notwendige Konto-, Vertrags-, Zahlungs-, Abonnement-, Kündigungs-, Ablauf-, Aufbewahrungs- und Reaktivierungsnachrichten verwenden wir den SMTP-Dienst der manitu GmbH, Welvertstraße 2, 66606 St. Wendel, Deutschland. manitu wird nicht für Newsletter oder Marketing eingesetzt und verarbeitet Versanddaten auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Die kommerziellen Lifecycle-Nachrichten sind Aktivierungs- und Vertragsbestätigung, Zahlung mit notwendiger Eligibility-Prüfung, Zahlungsaktion, Kündigungsvormerkung, Zugangsende, Aufbewahrungswarnung und Reaktivierungsbestätigung. Die Aktivierungsnachricht enthält die akzeptierte AGB-Version und den vollständig gespeicherten Vertragstext. Es wird keine gesonderte Bestelleingangsbestätigung versandt. Eine Erstattungsbestätigung wird erst nach erfolgreicher Stripe-Erstattungsevidenz manuell versandt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsnachrichten beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

10. Zahlung, Abonnement und Rechnung mit Stripe

Für kostenpflichtige Abonnements nutzen wir Stripe. Für ein in Deutschland geführtes Stripe-Konto ist nach den aktuellen Stripe-Vertragsbedingungen Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irland, die Vertragspartei für die Stripe Services. Stripe Technology Europe, Limited an derselben Anschrift ist zusätzliche Vertragspartei, soweit die anwendbaren Zahlungsdienstbedingungen dies vorsehen. Stripe Technology Company Limited, Irland, trägt nach den veröffentlichten Stripe-Datenschutzhinweisen die Hauptverantwortung für bestimmte Datenverarbeitungen außerhalb Amerikas.

Verarbeitet werden erforderliche Kunden-, Kontakt-, Unternehmens-, Rechnungsadress- und Steuerangaben sowie technische Kunden-, Checkout-, Abonnement-, Produkt-, Preis-, Steuersatz-, Rechnungs- und Zahlungsstatuskennungen. Marginwerk speichert keine Zahlungskartendaten. Eine Checkout-Rückleitung allein gewährt keinen Zugang.

Stripe verarbeitet Daten abhängig vom Vorgang als Auftragsverarbeiter und als eigener beziehungsweise gemeinsamer Verantwortlicher. Als Auftragsverarbeiter dient die Verarbeitung der Bereitstellung und Wartung der Stripe-Plattform und -Dienste. Als Verantwortlicher verarbeitet Stripe Daten insbesondere für Zahlungsnetzwerke, Betrugs- und Schadensprävention, Sicherheit, Abrechnung, gesetzliche Geldwäsche- und Identitätsprüfungen sowie Analyse und Produktverbesserung.

Der Stripe-Datenverarbeitungsvertrag ist in die Stripe Services Agreement einbezogen. Stripe veröffentlicht seine DPA, Datenschutzerklärung und Liste der Dienstleister, verbundenen Unternehmen und Unterauftragsverarbeiter. Stripe informiert Abonnenten seiner Unterauftragsverarbeiter-Mitteilungen grundsätzlich 30 Tage vor einer Änderung und ermöglicht einen begründeten Widerspruch nach den DPA-Regeln.

Das Angebot verwendet einen festen deutschen Umsatzsteuersatz von 19 % für die Deutschland-only-B2B-Selbstregistrierung. Widersprechen Stripe-Kunden- oder Rechnungsland der deutschen Voraussetzung, wird keine bezahlte Berechtigung gewährt oder verlängert. Die Zahlung wird geprüft und, wenn die Voraussetzung nicht hergestellt werden kann, manuell vollständig erstattet. Automatische Erstattungen sind nicht implementiert.

11. Fehleranalyse mit Sentry

Zur Diagnose technischer Fehler und zur Sicherung von Zuverlässigkeit und Sicherheit verwenden wir Sentry, einen Dienst der Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Die Konfiguration nutzt die deutsche beziehungsweise europäische Datenregion. Verarbeitet werden freigegebene technische Fehler-, Release-, Service-, Zeit- und Korrelationsdaten. Passwörter, Authentifizierungs-Token und Dokumentinhalte werden nicht absichtlich übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Fehlerereignisse bleiben bis zum Ablauf der im Sentry-Projekt konfigurierten Aufbewahrungsdauer gespeichert.

12. Datensicherung

Zur Wiederherstellung werden verschlüsselte, zusammengehörige Sicherungskopien von PostgreSQL und privaten Objekten auf getrennter Hetzner-Infrastruktur geführt. Es gelten 14 tägliche, 8 wöchentliche und 12 monatliche Wiederherstellungspunkte. Eine Löschung aus dem aktiven System kann deshalb bis zum Ablauf der Rotation in Sicherungen enthalten bleiben. Sicherungen werden nicht als aktiver Produktionsbestand verwendet.

13. Exporte

Während operativer Berechtigung können angeforderte Exportdateien höchstens 24 Stunden bereitstehen. Ein privater Download-Link gilt etwa fünf Minuten. Nach bezahltem Zugangsende bestehen weder gewöhnlicher Workspace-Zugriff noch Selbstbedienungs-Export. Gesetzliche Auskunfts- und Betroffenenrechte werden getrennt bearbeitet.

14. Änderungs-, Vertrags- und Sicherheitsprotokolle

Marginwerk führt technische Änderungs-, Vertragsannahme- und Sicherheitsprotokolle. Diese können Zeitstempel, Nutzer oder Systemakteure, betroffene Datensätze oder Prozesse, Korrelations- und Änderungssatzinformationen, maßgebliche Änderungen und Sicherheitsereignisse enthalten. Rechtsgrundlagen sind je nach Vorgang Art. 6 Abs. 1 lit. b oder lit. f DSGVO; für kundenbestimmte Daten erfolgt die Verarbeitung im Auftragsverhältnis.

15. Speicherdauer

Konto- und Serviceinformationen werden während des aktiven Konto- oder Kundenverhältnisses verarbeitet und danach nur, soweit gesetzliche Aufbewahrung, Rechtsansprüche oder konkrete Sicherheitszwecke dies erfordern.

Nach dem verifizierten bezahlten Zugangsende bleiben operative Workspace-Daten 30 vollständige Tage ausschließlich für bezahlte Reaktivierung erhalten. Währenddessen bestehen kein operativer Zugriff und kein Selbstbedienungs-Export. Checkout-Eröffnung, Abbruch oder fehlgeschlagene Zahlung verlängern die Frist nicht. Eine verifizierte neue Zahlung innerhalb der Frist reaktiviert den bestehenden Workspace. Der Versandauftrag für die Warnung wird an Tag 23 terminiert; die tatsächliche Zustellung erfolgt nach Queue-Verfügbarkeit und erneuter Zustandsprüfung innerhalb des verbleibenden Warnfensters. Nach Fristablauf werden Daten nur für kontrollierte Löschung vorgemerkt; automatische irreversible Löschung ist nicht aktiviert.

Handelsbücher, Jahresabschlüsse und vergleichbare Unterlagen werden nach § 257 HGB und § 147 AO grundsätzlich zehn Jahre, Buchungsbelege einschließlich abrechnungsrelevanter Rechnungs- und Zahlungsnachweise grundsätzlich acht Jahre und Handels- beziehungsweise Geschäftsbriefe grundsätzlich sechs Jahre aufbewahrt; die Frist beginnt regelmäßig mit dem Schluss des Entstehungsjahres. Vertragsannahme- und Rechtsverteidigungsnachweise werden mindestens bis zum Ablauf der anwendbaren regelmäßigen Verjährung von drei Jahren ab dem gesetzlich bestimmten Jahresende gespeichert; längere gesetzliche Höchst-, Hemmungs-, Steuer- oder Nachweisfristen bleiben möglich. Diese Nachweise werden vom operativen Workspace getrennt und begründen keinen operativen Zugang.

Weitere Fristen sind: Exportdateien höchstens 24 Stunden, Download-Links etwa fünf Minuten und Sicherungsrotation 14 tägliche, 8 wöchentliche und 12 monatliche Wiederherstellungspunkte. Stripe verarbeitet Daten für die Dauer des Vertrags und erforderlicher Nachvertragspflichten; eine einheitliche feste Löschfrist für alle Zahlungsdaten veröffentlicht Stripe nicht. Gesetzliche und regulatorische Aufbewahrungspflichten von Stripe bleiben bestehen.

16. Empfänger und Auftragsverarbeiter

Für aktuelle Verarbeitung setzen wir insbesondere Hetzner für Hosting, Datenbank, private Objekte und Sicherungen, manitu für Transaktions-E-Mails und Sentry für technische Fehleranalyse ein. Die aktuelle Liste für kundenbestimmte Daten steht unter Unterauftragsverarbeiter. Stripe ist Empfänger und Dienstleister für Zahlung, Rechnung und Abonnement; seine gemischte Rollenverteilung ist in Abschnitt 10 beschrieben. GoatCounter verarbeitet ausschließlich Daten der öffentlichen Website.

17. Drittlandübermittlungen

Sentry kann trotz deutscher beziehungsweise europäischer Datenregion Zugriffe aus den USA oder durch internationale Unterauftragsverarbeiter ermöglichen. Sentry stützt Übermittlungen nach seinem DPA auf das EU-US Data Privacy Framework und ersatzweise auf Standardvertragsklauseln der Europäischen Kommission.

Stripe übermittelt nach seinem DPA personenbezogene Daten an Stripe, LLC in den USA sowie weltweit an verbundene Unternehmen und Unterauftragsverarbeiter. Das Stripe Data Transfers Addendum ordnet für EWR-Übermittlungen vorrangig das EU-US Data Privacy Framework und ersatzweise die Standardvertragsklauseln der Europäischen Kommission, je nach Rollenverteilung in den Modulen 1, 2 oder 3, an. Weitere Informationen: Stripe Data Transfers Addendum.

18. Ihre Rechte

Nach den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Widerruf einer Einwilligung für die Zukunft. Zur Ausübung genügt eine Nachricht an kontakt@marginwerk.de.

Bezieht sich ein Anliegen auf Daten, die ein Marginwerk-Kunde als Verantwortlicher in seinem Workspace verarbeitet, sollte es grundsätzlich zuerst an diesen Kunden gerichtet werden. Marginwerk unterstützt ihn als Auftragsverarbeiter.

19. Beschwerderecht

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für Marginwerk ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, zuständig.

20. Automatisierte Entscheidungen

Marginwerk verwendet keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die gegenüber einer Person rechtliche Wirkung entfalten oder sie ähnlich erheblich beeinträchtigen. Produktkalkulationen und Analysen sind keine solchen Entscheidungen.

21. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitungsvorgänge, Dienste oder rechtliche Anforderungen ändern. Die jeweils veröffentlichte Fassung ist unter www.marginwerk.de/datenschutz abrufbar.