Datenschutz­erklärung

Stand: September 2026

1. Verantwortlicher

GRAF GmbH
Raiffeisenstraße 6
68542 Heddesheim

Vertreten durch Boris Feller und Philipp Klett
Telefon: +49 (0) 62 03 93 847-0
E-Mail: info@graf-gmbh.com

2. Kurz gefasst

Diese Website zeigt keine Werbung, bindet keine sozialen Netzwerke, keine eingebetteten Karten und keine fremden Videos ein und setzt selbst keine Cookies. Deshalb gibt es auch keinen Einwilligungshinweis beim ersten Aufruf.

Wir zählen, wie oft unsere Seiten aufgerufen werden, allerdings ohne Cookie und ohne eine Kennung, über die man Sie wiedererkennen könnte.

Angaben zu Ihrer Person erhalten wir nur, wenn Sie uns über das Kontakt- oder das Bewerbungsformular schreiben, uns eine E-Mail schicken oder anrufen. Diese Stellen sind unten einzeln beschrieben.

3. Aufruf der Website und Hosting

Die Website wird über das Netz der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA ausgeliefert. Jeder Aufruf läuft über deren Server. Dabei fallen technisch unvermeidbare Angaben an: Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die verweisende Seite, Browser und Betriebssystem sowie die übertragene Datenmenge. Ohne sie könnte die Seite nicht an Ihren Browser geschickt werden.

Ein kleines Programm von Cloudflare (ein sogenannter Worker) nimmt die Aufrufe entgegen, leitet alte Adressen auf die neuen um und verarbeitet die beiden Formulare. Cloudflare hält dazu kurzzeitig Betriebsprotokolle vor, die ebenfalls technische Angaben zur jeweiligen Anfrage enthalten; sie werden nach wenigen Tagen automatisch gelöscht. Zur Abwehr von Angriffen kann Cloudflare ein technisch notwendiges Sicherheits-Cookie setzen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer, schneller und störungsfreier Betrieb der Website. Wir führen diese Angaben nicht mit anderen Daten zusammen und werten sie nicht personenbezogen aus.

Betreut wird die Website von loststudio, Louis Stöter, Schanzenstraße 9a, 68159 Mannheim, als unserem Auftragsverarbeiter nach Art. 28 DSGVO. Cloudflare ist dabei als Unterauftragsverarbeiter eingebunden. Da Daten auch in die USA gelangen können, stützen wir uns auf die Zertifizierung von Cloudflare nach dem EU-US Data Privacy Framework und zusätzlich auf die Standardvertragsklauseln der Europäischen Kommission.

4. Reichweitenmessung

Um zu sehen, welche Seiten gelesen werden und wie schnell sie laden, nutzen wir Cloudflare Web Analytics (Anbieter wie oben). Ihr Browser lädt dafür beim Aufruf ein kurzes Skript von static.cloudflareinsights.com.

Erfasst werden die aufgerufene Seite, die verweisende Seite, das Land, Browser- und Gerätetyp sowie Ladezeiten. Das Verfahren arbeitet ohne Cookies und ohne Fingerabdruck des Geräts; es wird nichts auf Ihrem Gerät abgelegt und keine Kennung ausgelesen, die Sie über mehrere Besuche oder Websites hinweg erkennbar machen würde. Ihre IP-Adresse wird für die Auswertung nicht gespeichert. Wir sehen ausschließlich zusammengefasste Zahlen.

Weil nichts auf Ihrem Endgerät gespeichert oder von dort gelesen wird, braucht es keine Einwilligung nach § 25 TDDDG. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Website am tatsächlichen Bedarf auszurichten. Für die Übermittlung in die USA gilt dasselbe wie in Abschnitt 3.

5. Kontaktformular, E-Mail und Telefon

Über das Kontaktformular schicken Sie uns Vor- und Nachnamen, E-Mail-Adresse und Ihre Nachricht. Alle vier Felder sind nötig, damit wir antworten können; weitere Angaben fragen wir nicht ab. Mit dem Formular geht außerdem die Sprache der Seite mit, auf der Sie es ausgefüllt haben, damit wir in dieser Sprache antworten.

Wir verwenden die Angaben nur, um Ihre Anfrage zu bearbeiten und Rückfragen zu klären. Dasselbe gilt, wenn Sie uns anrufen oder direkt an info@graf-gmbh.com schreiben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf ein Angebot oder einen Auftrag zielt, sonst Art. 6 Abs. 1 lit. f DSGVO, weil wir ein berechtigtes Interesse daran haben, Anfragen zu beantworten. Mit dem Häkchen unter dem Formular willigen Sie zusätzlich nach Art. 6 Abs. 1 lit. a DSGVO ein; diese Einwilligung können Sie jederzeit mit Wirkung für die Zukunft zurücknehmen.

Die Website selbst speichert Ihre Nachricht nicht. Sie wird als E-Mail an info@graf-gmbh.com zugestellt (Abschnitt 7) und dort gelöscht, sobald die Anfrage erledigt ist. Führt sie zu einem Auftrag, bewahren wir den Schriftwechsel so lange auf, wie das Handels- und Steuerrecht es verlangt.

6. Bewerbungen

Auf der Karriereseite können Sie sich direkt bei uns bewerben. Pflichtangaben sind Vor- und Nachname sowie E-Mail-Adresse. Freiwillig können Sie eine Nachricht schreiben und eine Datei anhängen (PDF, JPG oder PNG, höchstens 5 MB), etwa Ihren Lebenslauf.

Wir nutzen diese Angaben allein für die Entscheidung über ein Beschäftigungsverhältnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit § 26 BDSG. Was Sie uns über das Nötige hinaus freiwillig mitteilen, verarbeiten wir mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); auch sie lässt sich jederzeit widerrufen.

Ein Foto oder Angaben etwa zu Gesundheit, Religion oder ethnischer Herkunft (Art. 9 DSGVO) brauchen wir nicht. Bitte lassen Sie solche Angaben in Ihren Unterlagen weg.

Die Bewerbung erreicht uns samt Anhang als E-Mail (Abschnitt 7) und ist nur den Personen zugänglich, die über die Stelle entscheiden. Stellen wir Sie ein, kommen die Unterlagen in Ihre Personalakte. Andernfalls löschen wir sie sechs Monate nach der Absage; so lange brauchen wir sie, um uns gegen Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz verteidigen zu können. Möchten Sie für spätere Stellen vorgemerkt bleiben, fragen wir Sie vorher.

7. Zustellung der Formulare: Resend

Nachrichten und Bewerbungen aus beiden Formularen werden uns über den E-Mail-Dienst Resend zugestellt. Betrieben wird er von der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend erhält dafür alle Formularinhalte einschließlich eines angehängten Dokuments und leitet sie an info@graf-gmbh.com weiter. Ihre E-Mail-Adresse steht in der Mail als Antwortadresse, damit wir Ihnen direkt antworten können. Öffnungen und Klicks werden nicht verfolgt.

Resend ist wie Cloudflare als Unterauftragsverarbeiter eingebunden (siehe Abschnitt 3). Für die Übermittlung in die USA gelten die Standardvertragsklauseln der Europäischen Kommission; Resend ist außerdem nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist dieselbe wie für das jeweilige Formular (Abschnitt 5 oder 6), ergänzt um unser berechtigtes Interesse an einer verlässlichen Zustellung nach Art. 6 Abs. 1 lit. f DSGVO.

8. Schutz der Formulare vor Missbrauch

Damit die Formulare nicht von Programmen mit Spam geflutet werden, schützen wir sie auf zwei Wegen.

Cloudflare Turnstile. Auf der Kontakt- und der Karriereseite (in allen drei Sprachen) lädt Ihr Browser ein Skript von challenges.cloudflare.com. Es prüft unsichtbar im Hintergrund, ob ein Mensch das Formular bedient; Bilderrätsel gibt es nicht. Dafür liest es technische Merkmale Ihres Browsers und Ihres Geräts aus und übermittelt sie zusammen mit Ihrer IP-Adresse an Cloudflare. Heraus kommt ein einmal gültiger Nachweis, den unser Server beim Absenden von Cloudflare bestätigen lässt; Ihre IP-Adresse geht dabei noch einmal mit. Turnstile setzt keine Werbe-Cookies und verfolgt Sie nicht über andere Websites. Auf allen übrigen Seiten wird es nicht geladen.

Taktbremse. Unser Server zählt kurzzeitig, wie oft von derselben IP-Adresse aus ein Formular abgeschickt wird, und lässt nicht mehr als drei Absendungen pro Minute zu. Der Zähler verfällt nach einer Minute.

Rechtsgrundlage für beides ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Abwehr missbräuchlicher Einsendungen. Der Zugriff auf Ihr Endgerät durch Turnstile ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil er für das Absenden des Formulars, das Sie selbst ausdrücklich nutzen, unbedingt erforderlich ist. Cloudflare liefert die Website ohnehin aus; ein neuer Empfänger kommt nicht hinzu. Für Auftragsverarbeitung und USA-Übermittlung gilt Abschnitt 3. Turnstile benötigt JavaScript; ohne JavaScript erreichen Sie uns per Telefon oder E-Mail.

9. Schriften, Bilder, Videos und Broschüren

Schriften, Bilder, Videos und die Broschüren zum Herunterladen liegen auf unserem eigenen Webspace und werden von dort geladen. Eine Verbindung zu Google Fonts, YouTube oder einem anderen fremden Dienst entsteht dabei nicht.

10. Verweise auf andere Websites

An einigen Stellen verweisen wir auf fremde Seiten, zum Beispiel über die Logos unserer Partner oder den Hinweis auf die Webagentur in der Fußzeile. Eine Verbindung dorthin entsteht erst, wenn Sie den Verweis anklicken. Ab dann ist der jeweilige Betreiber verantwortlich, und es gilt dessen Datenschutzerklärung.

11. Ihre Rechte

Nach der DSGVO können Sie von uns verlangen:

• Auskunft über die Daten, die wir zu Ihnen gespeichert haben (Art. 15)
• Berichtigung falscher Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Herausgabe Ihrer Daten in einem gängigen, maschinenlesbaren Format (Art. 20)

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 6 Abs. 1 lit. f), können Sie aus Gründen Ihrer besonderen Situation widersprechen (Art. 21). Wir hören dann damit auf, es sei denn, wir können zwingende Gründe nachweisen, die Ihre Interessen überwiegen, oder brauchen die Daten, um Rechtsansprüche durchzusetzen oder abzuwehren. Werbung per E-Mail oder Post verschicken wir auf Grundlage dieser Website nicht.

Eine formlose Nachricht an info@graf-gmbh.com genügt.

12. Beschwerderecht

Wenn Sie meinen, dass wir mit Ihren Daten nicht richtig umgehen, können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

13. Verschlüsselung

Die gesamte Website ist nur verschlüsselt über HTTPS erreichbar; unverschlüsselte Aufrufe werden automatisch umgeleitet. Was Sie in die Formulare eintragen, ist auf dem Weg von Ihrem Browser zu unserem Server vor fremdem Mitlesen geschützt. Bei einer gewöhnlichen E-Mail hängt die Verschlüsselung dagegen auch von Ihrem eigenen Mailanbieter ab.

14. Änderungen

Ändert sich die Technik dieser Website, passen wir diese Erklärung an. Maßgeblich ist immer die hier veröffentlichte Fassung.