Datenschutzerklärung
Diese Datenschutzerklärung gilt für das Kundenportal portal.ucos.space (im Folgenden „Portal“). Im Portal wickeln wir mit unseren Geschäftskunden Projekte, Tickets, Nachrichten, Rechnungen, Feedback und Freigaben ab. Für unsere Website neonarc.com gilt deren eigene Datenschutzerklärung.
1. Verantwortlicher
Alexander Hertle
Neon Arc
Pfarrer-Walser-Str. 3, 87544 Blaichach
Telefon: +49 176 9138 5260
E-Mail: info@neonarc.com
Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Fragen zum Datenschutz richten Sie bitte an info@neonarc.com.
2. Hosting, Aufruf des Portals und Server-Protokolle
Das Portal läuft auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Rechenzentren in Deutschland. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).
Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten und kann sie in Server-Protokollen festhalten:
- IP-Adresse
- Datum und Uhrzeit
- aufgerufene Adresse und HTTP-Statuscode
- übertragene Datenmenge
- Angaben zu Browser und Betriebssystem (User-Agent)
Zweck ist die Auslieferung des Portals, seine Stabilität und Sicherheit, etwa die Abwehr von Angriffen und die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb. Server-Protokolle bewahren wir nur so lange auf, wie wir sie für Betrieb, Fehleranalyse und Sicherheit brauchen. Einträge, die einen Sicherheitsvorfall belegen, bewahren wir bis zu dessen Aufklärung auf.
Zum Schutz vor Missbrauch, etwa dem massenhaften Ausprobieren von Passwörtern, zählt das Portal Anfragen je IP-Adresse in kurzen Zeitfenstern. Diese Zähler liegen nur im Arbeitsspeicher des Servers, nicht in der Datenbank, und gehen bei jedem Neustart des Portals verloren. Abgelaufene Zähler entfernt das Portal alle fünf Minuten. Die Zähler der Schnittstelle, über die neonarc.com Anfragen an das Portal übermittelt (Abschnitt 8), bleiben bis zum nächsten Neustart bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
3. Kundenkonto und Anmeldung
Zugänge zum Portal legt ausschließlich unser Team an; eine Selbstregistrierung gibt es nicht. Für Ihr Konto verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Rolle im Portal und Ihr Passwort, das wir nur als Hashwert speichern. Nutzen Sie die Zwei-Faktor-Anmeldung, speichern wir das Geheimnis für Ihre Authenticator-App und Ihre Backup-Codes verschlüsselt. Während der Zwei-Faktor-Anmeldung legt das Portal einen Eintrag mit Ihrer Konto-Kennung an, der 10 Minuten gültig ist. Wählen Sie „Diesem Gerät 30 Tage vertrauen“, legt es zusätzlich zum Cookie (Abschnitt 4) einen Eintrag mit Ihrer Konto-Kennung an, damit es das Gerät wiedererkennt. Er gilt 30 Tage und wird bei jeder Anmeldung auf diesem Gerät durch einen neuen mit wieder 30 Tagen ersetzt. Abgelaufene Einträge können nicht mehr genutzt werden und bleiben bis zur nächsten Bereinigung der Datenbank gespeichert.
Jede Anmeldung erzeugt eine Sitzung. Zu ihr speichern wir Beginn, Ablauf, IP-Adresse und User-Agent, damit wir Sitzungen zuordnen und Missbrauch erkennen können. Eine Sitzung läuft 7 Tage nach ihrer letzten Verlängerung ab. Solange Sie das Portal nutzen, verlängert es die Sitzung höchstens einmal am Tag um weitere 7 Tage; eine feste Höchstdauer gibt es deshalb nicht. Melden Sie sich ab, löscht das Portal das Cookie und die Sitzung in der Datenbank. Scheitert das Löschen in der Datenbank ausnahmsweise, bleibt der Eintrag bis zum Ablauf der Sitzung gespeichert. Eine abgelaufene Sitzung löscht es, sobald Ihr Browser sie noch einmal vorlegt; sonst bleibt der Eintrag bis zur nächsten Bereinigung der Datenbank gespeichert, kann aber nicht mehr zur Anmeldung genutzt werden.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit Ihnen). Nutzen Sie das Portal als Mitarbeiterin oder Mitarbeiter eines Kunden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung des Vertrags mit Ihrem Arbeitgeber. Für IP-Adresse und User-Agent der Sitzung stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Zugangs).
4. Cookies
Das Portal setzt nur Cookies, die für die Anmeldung technisch erforderlich sind. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Bei Aufruf über HTTPS tragen die Namen den Vorsatz „__Secure-“.
| Cookie | Zweck | Dauer |
|---|---|---|
| better-auth.session_token | hält Sie angemeldet | 7 Tage; verlängert sich bei Nutzung, höchstens einmal am Tag |
| better-auth.session_data | Zwischenspeicher der Sitzungsdaten, damit nicht jeder Seitenaufruf die Datenbank abfragt | 5 Minuten |
| better-auth.two_factor | verbindet Passwort und Code während der Zwei-Faktor-Anmeldung | 10 Minuten |
| better-auth.trust_device | nur wenn Sie „Diesem Gerät 30 Tage vertrauen“ wählen: erspart auf diesem Gerät die Code-Eingabe | 30 Tage; beginnt bei jeder Anmeldung auf diesem Gerät neu |
Analyse- und Marketing-Cookies, Tracking-Werkzeuge oder Inhalte fremder Anbieter setzen wir im Portal nicht ein. Skripte und Schriften liefert unser eigener Server aus.
5. Daten im Kundenbereich
Im Portal verarbeiten wir die Daten, die unsere Zusammenarbeit erfordert:
- Stammdaten Ihres Unternehmens: Firmenname, Ansprechperson, E-Mail-Adresse, Telefonnummer, Anschrift, Umsatzsteuer-Identifikationsnummer
- Vertragsdaten: gebuchtes Paket und Module, Laufzeit, Wartungsvertrag
- Projekte, Tickets und Nachrichten zwischen Ihnen und uns; bei Nachrichten speichern wir auch, ob und wann der Empfänger sie gelesen hat
- Rechnungen und Ratenpläne
- Dokumente, die wir für Sie ablegen, etwa Angebote und Verträge
- Texte und Bilder, die Sie für Ihre Website im Portal bearbeiten oder hochladen
- Nutzungszahlen der KI-Funktionen Ihrer Website je Monat (Anzahl der Anfragen, verbrauchte Tokens, geschätzte Kosten), ohne Inhalte der Anfragen
Zweck ist die Durchführung des Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Rechnungen und andere aufbewahrungspflichtige Unterlagen zusätzlich Art. 6 Abs. 1 lit. c DSGVO.
Damit Vorgänge nachvollziehbar bleiben, führt das Portal ein Änderungsprotokoll. Es hält Zeitpunkt, Art des Vorgangs und betroffenen Datensatz fest, bei einem Teil der Vorgänge auch das handelnde Mitglied unseres Teams. Je nach Vorgang enthält ein Eintrag personenbezogene Angaben, etwa Name, E-Mail-Adresse und Rolle beim Anlegen, Ändern oder Löschen eines Zugangs, Name und E-Mail-Adresse bei Anfragen über neonarc.com und Firmenname bei Kundendaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Nachvollziehbarkeit und Sicherheit unserer Abläufe.
Die Daten liegen in unserer Datenbank (Abschnitt 11). Bilder für Ihre Website speichern wir auf unserem Server bei Hetzner.
6. Feedback auf Vorschauseiten
Für Abstimmungen und Abnahmen erhalten Sie von uns einen Feedback-Link zu einer Vorschau Ihrer Website. Kommentare, die Sie dort abgeben, sendet Ihr Browser direkt an das Portal. Wir verarbeiten dabei:
- Ihren Kommentar und die gewählte Kategorie
- Ihren Namen, wenn Sie ihn angeben
- die Seite und die Stelle, auf die sich der Kommentar bezieht, sowie die Geräteklasse (Mobil, Tablet, Desktop)
- ein Bild je Kommentar, wenn Sie eines anhängen
Damit Sie eigene Beiträge später löschen können, legt das Feedback-Werkzeug im lokalen Speicher Ihres Browsers einen Lösch-Schlüssel je Beitrag und gegebenenfalls Ihren Namen ab. Wir speichern vom Schlüssel nur einen Hashwert. Scheitert das Senden an einem Netzfehler, hält Ihr Browser den Kommentar bis zum nächsten Sendeversuch, längstens bis zum Schließen des Tabs. Diese Speicherung ist für die von Ihnen genutzte Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
Über neue Kommentare informiert uns eine E-Mail mit Projektname, Seite und einem Auszug des Kommentars.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Geben Sie Feedback für Ihren Arbeitgeber ab, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung des Vertrags mit Ihrem Arbeitgeber. Feedback-Links haben ein Ablaufdatum. Kommentare, Bilder und Angaben, die über einen Link eingegangen sind, brauchen wir bis 90 Tage nach seinem Ablauf oder Widerruf, etwa für Rückfragen zur Abnahme. Danach sind sie zur Löschung bestimmt und werden bei der nächsten Bereinigung der Feedback-Daten entfernt.
7. Prüfung und Freigabe in der Projektvorschau
Über „Prüfung & Freigabe“ öffnen Sie die private Vorschau Ihres Projekts. Das Portal stellt dafür einen Einmal-Code aus, der 60 Sekunden gilt. In der Datenbank speichern wir dazu einen Hashwert des Codes, Ihre Konto-Kennung, Ihre Rolle, das Projekt und die Kennung Ihrer Portal-Sitzung. Die Vorschau löst den Code beim Portal ein und erhält Ihre Konto-Kennung, Ihre Rolle und das Projekt. Daraus entsteht in der Vorschau eine Sitzung von höchstens 15 Minuten. Beim Einlösen löscht das Portal den Eintrag; wird der Code nicht eingelöst, entfernt es ihn nach Ablauf bei der nächsten Ausstellung eines Codes für dasselbe Projekt oder bei der nächsten Bereinigung der Datenbank. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
8. Anfragen über neonarc.com
Anfragen über die Formulare auf neonarc.com (Kontakt, Konfigurator, Projekt-Briefing) legen wir in der Anfrageverwaltung des Portals ab: Name, E-Mail-Adresse, Telefonnummer, Firma, Nachricht oder Briefing, Angaben aus dem Konfigurator, die geschätzten Kosten und einen pseudonymisierten Hashwert der IP-Adresse. Nur unser Team hat Zugriff. Wird aus der Anfrage ein Auftrag, übernehmen wir die Angaben in Ihre Kundendaten (Abschnitt 5). Im Änderungsprotokoll halten wir zu jeder übermittelten Anfrage die IP-Adresse fest, die das Portal als Absender der Übermittlung erkennt. Der Server von neonarc.com, der die Anfrage übermittelt, schickt Ihre IP-Adresse dabei nicht mit, nur den genannten Hashwert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Wie wir die Daten erheben, beschreibt die Datenschutzerklärung von neonarc.com.
9. E-Mails und Termine
Das Portal versendet E-Mails über den Mailserver von ALL-INKL.COM - Neue Medien Münnich (Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf), die für uns als Auftragsverarbeiter nach Art. 28 DSGVO tätig ist: Hinweise auf neues Feedback an unser Team und Einladungen zu unserem Dienst KI-Kompass (Abschnitt 10). Verarbeitet werden Empfängeradresse, Betreff und Inhalt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die E-Mail einen Vertrag mit Ihnen betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwicklung unserer Verträge mit Unternehmenskunden.
Für die Terminplanung ist der Kalender unseres Teams bei Google angebunden (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Termine, die wir mit Ihnen vereinbaren, speichern wir dort mit Titel, Zeit und gegebenenfalls Beschreibung und Ort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Organisation unserer Termine.
10. Verwaltung des KI-Kompass
Unser Team verwaltet über das Portal die Zugänge zu unserem Dienst KI-Kompass. Der KI-Kompass ist ein eigener Dienst von uns und läuft ebenfalls bei der Hetzner Online GmbH. Dabei übermittelt das Portal an den KI-Kompass:
- beim Anlegen eines Arbeitsbereichs dessen Namen, die E-Mail-Adresse des ersten Zugangs und die gewählten Einstellungen (Farbthema, Beispielfälle)
- beim Anlegen eines weiteren Zugangs dessen E-Mail-Adresse
- bei jedem Aufruf die E-Mail-Adresse des handelnden Mitglieds unseres Teams, damit der KI-Kompass den Vorgang zuordnen kann
Vom KI-Kompass erhält das Portal Übersichten der Arbeitsbereiche und Zugänge sowie Rückmeldungen, die Nutzer dort abgeben, und zeigt sie unserem Team an, ohne sie selbst zu speichern. Einladungs- und Passwort-Links zeigt das Portal einmal an und speichert sie nicht; Einladungen versendet es zusätzlich per E-Mail (Abschnitt 9).
Ändernde Handlungen halten wir im Änderungsprotokoll fest (Abschnitt 5): handelndes Mitglied unseres Teams, Art der Handlung, betroffener Arbeitsbereich oder Zugang, beim Anlegen auch Name und E-Mail-Adresse, bei Einladungen die Empfängeradresse und ob die E-Mail versandt wurde.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit der Zugang einen Vertrag mit Ihnen betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Einrichtung und Verwaltung der Zugänge, die unsere Kunden für ihre Mitarbeiterinnen und Mitarbeiter bei uns bestellen, und in der Nachvollziehbarkeit dieser Verwaltung. Wie der KI-Kompass die Daten verarbeitet, beschreibt seine eigene Datenschutzerklärung.
11. Datenbank und weitere Empfänger
Die Daten des Portals speichern wir in einer PostgreSQL-Datenbank des Dienstes Neon, den die Databricks, Inc. (USA) betreibt. Die Datenbank liegt in der EU-Region Frankfurt am Main. Databricks verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).
Unser Team und ein IT-Dienstleister mit Sitz in Deutschland, der uns bei Entwicklung und technischem Betrieb unterstützt, haben Zugriff, soweit ihre Aufgaben es erfordern. Der Dienstleister ist vertraglich als Auftragsverarbeiter gebunden.
Eine Übermittlung in Drittländer ist möglich, weil Databricks und Google ihren Sitz bzw. ihre Muttergesellschaft in den USA haben. Sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem beide Unternehmen zertifiziert sind. Mit Databricks haben wir zusätzlich die EU-Standardvertragsklauseln vereinbart (Art. 46 Abs. 2 lit. c DSGVO).
Eine Webanalyse, KI-Auswertung oder automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet im Portal nicht statt.
12. Speicherdauer
Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Im Einzelnen:
| Daten | Dauer |
|---|---|
| Server-Protokolle | solange für Betrieb, Fehleranalyse und Sicherheit erforderlich; Einträge zu einem Sicherheitsvorfall bis zu dessen Aufklärung |
| Zähler zur Anfragenbegrenzung | nur im Arbeitsspeicher bis zum nächsten Neustart; abgelaufene Zähler entfernt das Portal alle fünf Minuten, ausgenommen die Zähler der Schnittstelle für neonarc.com |
| Sitzungen mit IP-Adresse und User-Agent | bis zur Abmeldung oder zum Ablauf (7 Tage nach der letzten Verlängerung); abgelaufene Einträge bis zur nächsten Bereinigung der Datenbank |
| Einträge der Zwei-Faktor-Anmeldung mit Konto-Kennung | gültig 10 Minuten bzw. 30 Tage bei „Diesem Gerät vertrauen“ (bei jeder Anmeldung auf dem Gerät neu); abgelaufene Einträge bis zur nächsten Bereinigung der Datenbank |
| Einmal-Code für die Projektvorschau (Hashwert mit Konto- und Sitzungskennung) | gültig 60 Sekunden; gespeichert bis zur Einlösung, nach Ablauf bis zur nächsten Ausstellung für dasselbe Projekt oder zur nächsten Bereinigung der Datenbank |
| Feedback, Bilder und Lösch-Schlüssel-Hashwerte | bis 90 Tage nach Ablauf oder Widerruf des Feedback-Links; danach bei der nächsten Bereinigung der Feedback-Daten |
| Kundenkonto, Kundendaten, Projekte, Tickets, Nachrichten, Dokumente | bis zum Ende der Zusammenarbeit oder bis zu Ihrem Löschantrag, soweit keine Aufbewahrungspflicht besteht |
| Anfragen über neonarc.com ohne Auftrag | bis die Anfrage abschließend bearbeitet ist, soweit keine Aufbewahrungspflicht besteht |
| Änderungsprotokoll | solange die Einträge für die Nachvollziehbarkeit der Vorgänge erforderlich sind; die Einträge bleiben auch nach der Löschung eines Kontos bestehen |
| Rechnungen und Buchungsbelege | 8 Jahre (§ 147 Abs. 3 AO, § 14b Abs. 1 UStG) |
| Geschäftsbriefe | 6 Jahre (§ 147 Abs. 3 AO) |
| Nachweis über bearbeitete Löschanträge und Datenauskünfte | solange wir die ordnungsgemäße Bearbeitung gegenüber Ihnen und der Aufsichtsbehörde nachweisen müssen (Art. 5 Abs. 2, Art. 6 Abs. 1 lit. f DSGVO); maßgeblich ist die regelmäßige Verjährungsfrist von 3 Jahren ab Ende des Jahres der Bearbeitung |
Bei einer Löschung bleiben Rechnungen wegen der Aufbewahrungspflicht erhalten; die Kundenangaben dazu ersetzen wir durch einen Platzhalter. Als Nachweis der Löschung halten wir Firmenname, Ansprechperson, E-Mail-Adresse und Umsatzsteuer-Identifikationsnummer zum Zeitpunkt der Löschung fest.
13. Pflicht zur Bereitstellung
Ohne Name und E-Mail-Adresse können wir Ihnen keinen Zugang zum Portal einrichten. Ihre Angaben im Feedback sind freiwillig, nur der Kommentar selbst ist erforderlich.
14. Ihre Rechte
Sie haben gegenüber uns das Recht auf
- Auskunft über Ihre Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
Eine formlose Nachricht an info@neonarc.com genügt. Als Kunde können Sie die Löschung Ihres Kontos zusätzlich im Portal unter „Profil“ beantragen.
Widerspruchsrecht (Art. 21 DSGVO)
Verarbeiten wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
15. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, www.lda.bayern.de.
16. Sicherheit
Die Verbindung zum Portal ist durchgehend mit TLS verschlüsselt. Der Admin-Bereich verlangt die Zwei-Faktor-Anmeldung. Kunden sehen nur die Daten ihres eigenen Unternehmens. Anfragen sind gegen Missbrauch begrenzt.
17. Änderungen
Ändern sich die Funktionen des Portals oder die Rechtslage, passen wir diese Datenschutzerklärung an. Es gilt die jeweils hier veröffentlichte Fassung.