DatenschutzerklärungPrivacy policy

Stand: 10. Oktober 2026

1. Verantwortlicher

Hoorakhsh Pourbahrami, Mister Rhino, Holländerstraße 71, 13407 Berlin, Deutschland
E-Mail: legal@misterrhino.com · Telefon: +49 15562 162085

Einen Datenschutzbeauftragten müssen wir nicht bestellen. Fragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2. Geltungsbereich

Diese Erklärung gilt für alle unsere Angebote:

• misterrhino.com (die Website)
• client.misterrhino.com (das Kundenportal)
• team.misterrhino.com (das Teamportal)
• brand.misterrhino.com (Brand HQ)
• labs.misterrhino.com (Labs)

Für Websites und Entwürfe, die wir im Auftrag von Kunden betreiben, ist der jeweilige Kunde verantwortlich; dazu Abschnitt 14.

3. Das Wichtigste in Kürze

Wir verwenden keine Werbung, keine Werbe- oder Tracking-Cookies, keine Profilbildung und keine Weitergabe zu Werbezwecken. Schriften werden von unseren eigenen Servern geladen, nicht von Google Fonts. Die Besucherstatistik der Website kommt ohne Cookies aus. Dienste Dritter, die Cookies setzen könnten (der Buchungskalender von Cal.com), werden erst geladen, wenn Sie es ausdrücklich wünschen.

4. Hosting, Auslieferung und Server-Logfiles

Alle unsere Seiten werden über Cloudflare, Inc. ausgeliefert, das auch unsere Domains verwaltet und die Seiten vor Angriffen schützt. Beim Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Browser- und Betriebssystemangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere, schnelle und stabile Betrieb. Die Daten werden von Cloudflare nach kurzer Zeit gelöscht oder gekürzt. Zur Abwehr automatisierter Angriffe kann Cloudflare im Einzelfall ein technisch notwendiges Sicherheits-Cookie setzen (siehe Cookie-Richtlinie).

5. Besucherstatistik der Website

Auf misterrhino.com zählen wir mit Cloudflare Web Analytics, welche Seiten wie oft aufgerufen werden, woher Besucher kommen (verweisende Seite, Land) und mit welchem Gerätetyp und Browser. Dabei werden keine Cookies gesetzt, keine Informationen auf Ihrem Gerät gespeichert, keine Profile gebildet und keine Besucher über Seiten oder Tage hinweg wiedererkannt; wir sehen nur zusammengefasste Zahlen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, zu verstehen, welche Inhalte gefunden und gelesen werden. Sie können dem jederzeit widersprechen (Abschnitt 18), zum Beispiel, indem Sie in Ihrem Browser Skripte von cloudflareinsights.com blockieren.

6. Kontaktformular

Wenn Sie uns über das Formular der Website schreiben, verarbeiten wir die von Ihnen angegebenen Daten: Name, E-Mail-Adresse und Nachricht, sowie optional Telefonnummer, Unternehmen, Budget und die gewünschte Leistung. Wir nutzen diese Daten ausschließlich, um Ihre Anfrage zu beantworten und das mögliche Projekt vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Die Zustellung erfolgt über Formspree, Inc. (USA) als Auftragsverarbeiter. Zum Schutz vor automatisierten Einsendungen prüfen wir im Browser, ob das Formular von einem Menschen ausgefüllt wurde; dabei werden keine Daten an weitere Dritte übermittelt und kein Profil gebildet.

7. E-Mail, Telefon und Messenger

Schreiben Sie uns eine E-Mail, verarbeiten wir die Nachricht und Ihre Angaben, um zu antworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Unsere Postfächer liegen bei DreamHost (New Dream Network, LLC, USA). Rufen Sie uns an, notieren wir, was für Ihr Anliegen nötig ist. Schreiben Sie uns über WhatsApp, gelten zusätzlich die Bedingungen und die Datenschutzhinweise von WhatsApp (Meta); wir verlinken WhatsApp nur, eingebunden wird es nicht.

8. Terminbuchung über Cal.com

Auf der Website und im Kundenportal können Sie einen Termin buchen. Der Kalender wird von Cal.com, Inc. bereitgestellt und erst geladen, wenn Sie ihn ausdrücklich öffnen (auf der Website mit „Show available times“). Erst dann werden Ihre IP-Adresse und technische Angaben an Cal.com übertragen und Cookies bzw. vergleichbare Speichertechniken gesetzt. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, die Sie jederzeit für die Zukunft widerrufen können, indem Sie die Seite verlassen und die gespeicherten Daten in Ihrem Browser löschen. Buchen Sie einen Termin, verarbeiten wir Name, E-Mail-Adresse und die Angaben, die Sie im Kalender machen, zur Durchführung des Termins (Art. 6 Abs. 1 lit. b DSGVO).

9. Speicherung im Browser

Die Website speichert nur technisch notwendige Einstellungen in Ihrem Browser, zum Beispiel ob die Eröffnungsanimation schon gelaufen ist und ob Sie den Ton stummgeschaltet haben. Die Portale und Brand HQ setzen die Cookies, ohne die eine Anmeldung nicht funktioniert. Diese Angaben dienen keinem Tracking. Eine vollständige Liste mit Zweck und Speicherdauer steht in der Cookie-Richtlinie. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. b bzw. f DSGVO.

10. Kundenportal (client.misterrhino.com)

Im Kundenportal sehen unsere Kunden ihre Projekte, Leistungen und Wartungsverträge, geben Ergebnisse frei, laden Dateien hoch und schreiben uns. Einen Zugang legen wir an, wenn ein Kunde ihn wünscht; das Passwort vergeben wir und übergeben es persönlich.

Welche Daten: Name, die E-Mail-Adressen, mit denen Sie sich anmelden, Ihre Organisation und Ihre Rolle im Projekt (zum Beispiel Ansprechpartner oder die Person, die freigibt), welche Projekte Sie sehen, das Passwort (nur als verschlüsselter Hashwert), Zeitpunkte der Anmeldung, Ihre Freigaben, Änderungswünsche und Kommentare mit Datum, Ihre Nachrichten an uns, von Ihnen hochgeladene Dateien, Ihre Benachrichtigungseinstellungen und ob Sie das helle oder dunkle Design gewählt haben.

Wozu und auf welcher Grundlage: zur Durchführung des Vertrages mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO). Sind Sie für ein Unternehmen tätig, das unser Kunde ist, beruht die Verarbeitung auf unserem und dessen berechtigtem Interesse, das Projekt gemeinsam durchzuführen (Art. 6 Abs. 1 lit. f DSGVO). Freigaben und Änderungswünsche halten wir fest, damit beide Seiten nachvollziehen können, was vereinbart wurde.

Wo: Die Datenbank und die Anmeldung laufen bei Supabase, Inc. mit Speicherort Frankfurt am Main; Dateien liegen bei Cloudflare in einem Speicher in der EU; E-Mails des Portals versenden wir über DreamHost; Sicherungskopien liegen bei Hetzner in Deutschland.

Wie lange: Ihr Zugang besteht, solange Sie ihn für ein Projekt brauchen. Nehmen wir ihn zurück, können Sie sich nicht mehr anmelden; was Sie getan haben (Freigaben, Kommentare), bleibt mit Ihrem Namen erhalten, solange es als Nachweis für das Projekt nötig ist, in der Regel bis zum Ablauf der Verjährungsfristen. Dateien eines Projekts bewahren wir nach dessen Abschluss 90 Tage auf, sofern nichts anderes vereinbart ist, und löschen sie dann. Rechnungen und Geschäftsbriefe bewahren wir so lange auf, wie das Gesetz es verlangt (Abschnitt 17).

11. Teamportal (team.misterrhino.com)

Das Teamportal ist unser internes Arbeitswerkzeug für uns und die Menschen, mit denen wir zusammenarbeiten. Für diesen Personenkreis verarbeiten wir: Name, E-Mail-Adresse, Rolle und Berechtigungen, Profilbild, Signatur, Zeitpunkte der Anmeldung, ein Protokoll der Änderungen im Portal (wer hat wann was geändert), Kalendereinträge, Benachrichtigungseinstellungen und, soweit Sie es selbst einrichten, verbundene Postfächer und Kalender.

• Verbundene Postfächer: Die E-Mails werden im Portal angezeigt, verschickt und für die eingestellte Dauer zwischengespeichert; Zugangsdaten und die gespeicherten Nachrichten werden verschlüsselt.
• Google Kalender: nur wenn Sie ihn selbst verbinden; dann werden Termine zwischen Google Ireland Limited und dem Portal abgeglichen. Sie können die Verbindung jederzeit trennen.
• Cal.com: Ist für Sie ein Cal.com-Zugang hinterlegt, ruft das Portal Ihre Buchungen ab; der Schlüssel wird verschlüsselt gespeichert.
• Browser-Benachrichtigungen: nur wenn Sie sie einschalten; zugestellt werden sie über den Dienst Ihres Browsers (bei Chrome Google, bei Firefox Mozilla, bei Safari Apple).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Zusammenarbeit), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Nachvollziehbarkeit der Arbeit). Endet die Zusammenarbeit, wird der Zugang gesperrt; die Arbeit bleibt mit dem Namen erhalten, damit Projekte nachvollziehbar bleiben.

Wenn das Portal den Absender einer E-Mail mit einem Logo zeigt, ruft unser Server das Symbol von der Website des Absenders ab; dabei wird nur die Domain verwendet.

12. Kontakte, Kunden und Interessenten

In unserem Teamportal führen wir ein Adressbuch: Kunden, Partner, Freiberufler, Lieferanten, Presse und Unternehmen, die wir als mögliche Kunden ansprechen. Wenn wir Ihre Daten nicht bei Ihnen selbst erhoben haben, informieren wir Sie hier nach Art. 14 DSGVO.

• Daten: Name, Funktion, Unternehmen, geschäftliche Kontaktdaten (E-Mail, Telefon, Website, berufliche Profile), Notizen zu Gesprächen und Anrufen, gemeinsame Projekte, Geburtstag nur wenn Sie ihn uns nennen, und Ihre Einwilligungen in Werbung per E-Mail, Anruf oder SMS mit Datum.
• Herkunft: von Ihnen selbst, von Ihrem Unternehmen oder aus öffentlich zugänglichen Quellen wie Unternehmenswebsites, Branchen- und Kartenverzeichnissen und beruflichen Netzwerken.
• Zweck und Rechtsgrundlage: die Pflege der Geschäftsbeziehung und die Ansprache von Unternehmen zu unseren Leistungen (Art. 6 Abs. 1 lit. f DSGVO); Werbung, für die das Gesetz eine Einwilligung verlangt, nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
• Speicherdauer: solange die Geschäftsbeziehung besteht oder die Ansprache sinnvoll ist; danach löschen wir die Daten, soweit keine Aufbewahrungspflicht besteht.
• Widerspruch: Sie können der Verwendung für Werbung jederzeit widersprechen. Dann sprechen wir Sie nicht mehr an und vermerken Ihre Kontaktdaten auf einer Sperrliste, damit das so bleibt (Art. 6 Abs. 1 lit. c und f DSGVO).

13. Brand HQ (brand.misterrhino.com)

Brand HQ ist unser internes Markenhandbuch. Zugang haben unser Team, angemeldet über das Teamportal, und Personen, denen wir einen Freigabelink geben. Dabei verarbeiten wir die Server-Logfiles (Abschnitt 4) und ein Anmelde-Cookie, das bis zu zwei Stunden gilt und nur festhält, welche Bereiche Sie sehen dürfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TDDDG.

14. Websites und Entwürfe für Kunden

Websites, Entwürfe und Vorschauen, die wir für Kunden bauen, betreiben wir, wo das vereinbart ist, bei Cloudflare oder Vercel Inc. Verantwortlich für die Daten der Besucher dieser Seiten ist der jeweilige Kunde; es gilt dessen Datenschutzerklärung. Wir handeln dabei als Auftragsverarbeiter auf Grundlage eines Vertrages nach Art. 28 DSGVO. Entwürfe und Vorschauen sind nicht für die Öffentlichkeit bestimmt und werden von Suchmaschinen ausgeschlossen.

15. Sicherungskopien

Damit nichts verloren geht, sichern wir die Daten der Portale regelmäßig bei der Hetzner Online GmbH in Deutschland. Sicherungskopien werden nach festen Fristen überschrieben; gelöschte Daten verschwinden dort mit dem nächsten Durchlauf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie Art. 32 DSGVO.

16. Empfänger und Übermittlung in Drittländer

Diese Dienstleister verarbeiten Daten in unserem Auftrag; mit jedem besteht ein Vertrag nach Art. 28 DSGVO:

• Cloudflare, Inc. (USA; Dateien in der EU): Hosting und Auslieferung aller Seiten, Schutz vor Angriffen, Domainverwaltung (DNS), der Dateispeicher der Portale (R2, Standort EU) und die cookielose Besucherstatistik der Website.
• Supabase, Inc. (USA; Daten in Frankfurt am Main): Datenbank und Anmeldung des Kunden- und des Teamportals.
• New Dream Network, LLC (DreamHost) (USA): E-Mail: unsere Postfächer und der Versand der Benachrichtigungen aus den Portalen.
• Hetzner Online GmbH (Deutschland): Sicherungskopien (Backups) der Portale.
• Formspree, Inc. (USA): Zustellung der Nachrichten aus dem Kontaktformular der Website.
• Cal.com, Inc. (USA): Terminbuchung auf der Website und im Kundenportal, erst nach Ihrer Einwilligung geladen.
• Vercel Inc. (USA): Hosting von Websites und Entwürfen, die wir für Kunden bauen, wo das vereinbart ist.
• Google Ireland Limited (Irland; Übermittlung in die USA möglich): Nur im Teamportal: Google Kalender für Teammitglieder, die ihn selbst verbinden, und die Zustellung von Browser-Benachrichtigungen in Chrome.

Wo Daten in die USA oder ein anderes Land außerhalb der EU übermittelt werden können, geschieht das auf Grundlage des EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist (Art. 45 DSGVO), und sonst auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn Sie einwilligen oder wir gesetzlich dazu verpflichtet sind, etwa gegenüber unserer Steuerberatung oder Behörden.

17. Speicherdauer

Wir speichern Daten, solange der jeweilige Zweck es verlangt, und löschen sie danach. Gesetzlich müssen wir aufbewahren: Handels- und Geschäftsbriefe sechs Jahre, Buchungsbelege wie Rechnungen acht Jahre und Bücher und Jahresabschlüsse zehn Jahre (§ 257 HGB, § 147 AO), jeweils ab dem Ende des Kalenderjahres. In dieser Zeit sind die Daten gesperrt und werden nur für diesen Zweck genutzt.

18. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dafür an legal@misterrhino.com.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Verwendung Ihrer Daten für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; dann verwenden wir sie dafür nicht mehr.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren, für uns:Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, datenschutz-berlin.de.

19. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Sie müssen uns keine Daten geben. Ohne die nötigen Angaben können wir Ihre Anfrage aber nicht beantworten, keinen Vertrag schließen und keinen Zugang zu einem Portal einrichten. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

20. Sicherheit

Alle Verbindungen sind verschlüsselt (HTTPS). Zugänge zu den Portalen sind persönlich, die Rechte darin sind nach Aufgaben begrenzt, und Zugangsdaten zu Postfächern und Diensten speichern wir verschlüsselt.

21. Änderungen

Ändern sich unsere Angebote, ändern wir diese Erklärung mit. Es gilt die jeweils hier veröffentlichte Fassung.

Last updated 10 October 2026

This is a translation of the German privacy notice above, which is the binding version.

1. Controller

Hoorakhsh Pourbahrami, Mister Rhino, Holländerstraße 71, 13407 Berlin, Germany
Email: legal@misterrhino.com · Phone: +49 15562 162085

We are not required to appoint a data protection officer. Please send any questions about data protection to the address above.

2. Scope

This notice covers everything we run:

• misterrhino.com (the website)
• client.misterrhino.com (the client portal)
• team.misterrhino.com (the team portal)
• brand.misterrhino.com (Brand HQ)
• labs.misterrhino.com (Labs)

For the websites and drafts we run for clients, the client is the controller; see section 14.

3. In short

We use no advertising, no advertising or tracking cookies, no profiling, and we pass nothing on for advertising. Fonts come from our own servers, not from Google Fonts. The website's visitor statistics need no cookies. Third-party services that could set cookies (Cal.com's booking calendar) load only when you ask for them.

4. Hosting, delivery and server logs

All our sites are delivered through Cloudflare, Inc., which also manages our domains and protects the sites against attacks. When a page is opened, technically necessary data is processed: IP address, date and time, the address requested, the amount of data transferred, the referrer, and browser and operating system details. The legal basis is Art. 6 (1) (f) GDPR; our legitimate interest is secure, fast and stable operation. Cloudflare deletes or shortens this data after a short time. To fend off automated attacks, Cloudflare may in individual cases set a technically necessary security cookie (see the cookie policy).

5. The website's visitor statistics

On misterrhino.com we count with Cloudflare Web Analytics which pages are visited how often, where visitors come from (the referring page, the country), and on what kind of device and browser. No cookies are set, nothing is stored on your device, no profiles are built and no visitor is recognised across pages or days; we see only totals. The legal basis is Art. 6 (1) (f) GDPR; our legitimate interest is understanding which content is found and read. You may object at any time (section 18), for example by blocking scripts from cloudflareinsights.com in your browser.

6. Contact form

If you write to us through the website's form, we process what you give us: name, email address and message, and optionally phone number, company, budget and the service you are interested in. We use it only to answer you and to prepare the possible project. The legal basis is Art. 6 (1) (b) GDPR for steps taken before a contract, and otherwise Art. 6 (1) (f) GDPR.

Delivery is handled by Formspree, Inc. (USA) as our processor. To protect the form against automated submissions we check in the browser whether a person filled it in; nothing is sent to any further third party for this, and no profile is built.

7. Email, phone and messengers

If you email us, we process the message and your details in order to reply (Art. 6 (1) (b) or (f) GDPR). Our mailboxes are with DreamHost (New Dream Network, LLC, USA). If you call us, we note what your request needs. If you write to us on WhatsApp, WhatsApp's (Meta's) terms and privacy notice also apply; we only link to WhatsApp, we do not embed it.

8. Booking a call through Cal.com

On the website and in the client portal you can book a call. The calendar is provided by Cal.com, Inc. and is loaded only when you open it yourself (on the website with "Show available times"). Only then are your IP address and technical details sent to Cal.com, and cookies or similar storage set. The legal basis is your consent under Art. 6 (1) (a) GDPR and § 25 (1) TDDDG, which you may withdraw at any time with future effect by leaving the page and clearing the stored data in your browser. If you book, we process your name, email address and what you enter in the calendar in order to hold the call (Art. 6 (1) (b) GDPR).

9. Storage in your browser

The website keeps only technically necessary settings in your browser, such as whether the opening animation has played and whether you muted the sound. The portals and Brand HQ set the cookies without which signing in cannot work. None of this is used for tracking. The cookie policy lists each with its purpose and lifetime. The legal basis is § 25 (2) no. 2 TDDDG and Art. 6 (1) (b) or (f) GDPR.

10. Client portal (client.misterrhino.com)

In the client portal our clients see their projects, services and Upkeep, approve work, upload files and write to us. We set up a login when a client asks for one; we choose the password and hand it over in person.

What data: your name, the email addresses you sign in with, your organisation and your part in a project (for example point of contact or the person who approves), which projects you see, your password (only as an encrypted hash), when you signed in, your approvals, change requests and comments with their dates, your messages to us, files you upload, your notification settings, and whether you chose the light or dark theme.

Why, and on what basis: to perform the contract with you (Art. 6 (1) (b) GDPR). If you work for a company that is our client, the processing rests on our and its legitimate interest in carrying out the project together (Art. 6 (1) (f) GDPR). We record approvals and change requests so that both sides can see what was agreed.

Where: the database and the sign-in run at Supabase, Inc., stored in Frankfurt am Main; files are kept by Cloudflare in storage located in the EU; the portal's emails are sent through DreamHost; backups are kept at Hetzner in Germany.

For how long: your login exists for as long as you need it for a project. Once we take it away you can no longer sign in; what you did (approvals, comments) stays with your name for as long as it is needed as a record of the project, as a rule until the limitation periods have run out. A project's files are kept for 90 days after it closes, unless agreed otherwise, and then deleted. Invoices and business letters are kept for as long as the law requires (section 17).

11. Team portal (team.misterrhino.com)

The team portal is our internal working tool, for us and the people we work with. For them we process: name, email address, role and permissions, profile picture, signature, when they signed in, a log of changes made in the portal (who changed what, when), calendar entries, notification settings and, where they set them up themselves, connected mailboxes and calendars.

• Connected mailboxes: the emails are shown and sent in the portal and kept for the period set; access details and the stored messages are encrypted.
• Google Calendar: only if you connect it yourself; events are then exchanged between Google Ireland Limited and the portal. You can disconnect it at any time.
• Cal.com: where a Cal.com account is set up for you, the portal reads your bookings; the key is stored encrypted.
• Browser notifications: only if you turn them on; they are delivered through your browser's service (Google for Chrome, Mozilla for Firefox, Apple for Safari).

The legal basis is Art. 6 (1) (b) GDPR (carrying out the collaboration), Art. 6 (1) (c) GDPR (legal obligations) and Art. 6 (1) (f) GDPR (security, and a traceable record of the work). When the collaboration ends, the login is disabled; the work keeps its author's name so that projects stay traceable.

When the portal shows a sender's logo next to an email, our server fetches the icon from the sender's own website; only the domain is used.

12. Contacts, clients and prospective clients

Our team portal holds an address book: clients, partners, freelancers, suppliers, press, and companies we approach as possible clients. Where we did not collect your data from you, this is our information under Art. 14 GDPR.

• Data: name, position, company, business contact details (email, phone, website, professional profiles), notes on conversations and calls, projects we share, a birthday only if you tell us, and your consents to marketing by email, call or SMS with their dates.
• Source: you, your company, or publicly available sources such as company websites, business and map directories, and professional networks.
• Purpose and legal basis: looking after the business relationship and approaching companies about our services (Art. 6 (1) (f) GDPR); marketing for which the law requires consent, only with your consent (Art. 6 (1) (a) GDPR).
• How long: for as long as the business relationship lasts or approaching you makes sense; then we delete the data, unless we must keep it.
• Objection: you may object to marketing at any time. We then stop approaching you and keep your contact details on a do-not-contact list so that it stays that way (Art. 6 (1) (c) and (f) GDPR).

13. Brand HQ (brand.misterrhino.com)

Brand HQ is our internal brand manual. Our team reaches it by signing in to the team portal, and people we give a share link reach the parts it opens. For this we process the server logs (section 4) and a sign-in cookie that lasts up to two hours and records only which parts you may see. The legal basis is Art. 6 (1) (f) GDPR and § 25 (2) no. 2 TDDDG.

14. Websites and drafts for clients

Where agreed, we run the websites, drafts and previews we build for clients on Cloudflare or Vercel Inc. The client is the controller for the data of those sites' visitors, and the client's privacy notice applies. We act as a processor under a contract in line with Art. 28 GDPR. Drafts and previews are not meant for the public and are kept out of search engines.

15. Backups

So that nothing is lost, we back up the portals' data regularly at Hetzner Online GmbH in Germany. Backups are overwritten on a fixed schedule; data that was deleted disappears from them with the next cycle. The legal basis is Art. 6 (1) (f) GDPR and Art. 32 GDPR.

16. Recipients and transfers outside the EU

These service providers process data on our behalf, each under a contract in line with Art. 28 GDPR:

• Cloudflare, Inc. (USA; files in the EU): Hosting and delivery of every site, protection against attacks, domain management (DNS), the portals’ file storage (R2, located in the EU) and the website’s cookie-free visitor statistics.
• Supabase, Inc. (USA; data in Frankfurt am Main): Database and sign-in of the client and team portals.
• New Dream Network, LLC (DreamHost) (USA): Email: our mailboxes, and the notifications the portals send.
• Hetzner Online GmbH (Germany): Backups of the portals.
• Formspree, Inc. (USA): Delivery of the messages sent through the website’s contact form.
• Cal.com, Inc. (USA): Booking a call on the website and in the client portal, loaded only after your consent.
• Vercel Inc. (USA): Hosting of websites and drafts we build for clients, where that is agreed.
• Google Ireland Limited (Ireland; transfer to the USA possible): Team portal only: Google Calendar for team members who connect it themselves, and delivery of browser notifications in Chrome.

Where data may be transferred to the USA or another country outside the EU, this happens on the basis of the EU-US Data Privacy Framework where the recipient is certified under it (Art. 45 GDPR), and otherwise on the basis of the European Commission's standard contractual clauses (Art. 46 (2) (c) GDPR). Beyond this we pass personal data on only with your consent or where the law requires it, for example to our tax adviser or the authorities.

17. How long we keep data

We keep data for as long as its purpose requires and then delete it. The law requires us to keep business letters for six years, accounting records such as invoices for eight years, and books and annual accounts for ten years (§ 257 HGB, § 147 AO), each from the end of the calendar year. During that time the data is blocked and used for that purpose only.

18. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20). You may withdraw any consent at any time with future effect. Write to legal@misterrhino.com.

Right to object (Art. 21 GDPR): where we process data on the basis of legitimate interests, you may object at any time on grounds relating to your particular situation. You may object to the use of your data for direct marketing at any time without giving reasons; we then stop using it for that.

You also have the right to complain to a supervisory authority. Ours is theBerlin Commissioner for Data Protection and Freedom of Information, Alt-Moabit 59-61, 10555 Berlin, datenschutz-berlin.de.

19. Whether you must provide data; automated decisions

You do not have to give us any data. Without what is needed, though, we cannot answer you, conclude a contract or set up a portal login. There is no automated decision-making, including profiling (Art. 22 GDPR).

20. Security

Every connection is encrypted (HTTPS). Portal logins are personal, the rights inside them are limited to what each person's work needs, and access details for mailboxes and services are stored encrypted.

21. Changes

When what we run changes, this notice changes with it. The version published here is the one that applies.