Datenschutzhinweise

2. Seitenabruf und Hosting

Zur Übertragung der Website verarbeitet der Server technisch insbesondere Ihre IP-Adresse und die angeforderte Ressource; Browser übermitteln außerdem beispielsweise Zeitpunkt und HTTP-Header. Die Anwendung speichert keine Kontaktinhalte in Zugriffslogs. Die vollständige IP-Adresse wird in der Anwendungsdatenbank nicht gespeichert, jedoch beim Verbindungsaufbau und für die Missbrauchsbegrenzung flüchtig verarbeitet. Server, Reverse-Proxy oder Hoster können eigene Zugriffs- und Fehlerprotokolle erzeugen.

Hoster / Hostingstandort / weitere technische Empfänger: [PFLICHTANGABE: tatsächlicher Anbieter, Anschrift, Land und Leistungen]. Protokollierte Felder und Löschfristen: [PFLICHTANGABE: reale Server-/Proxy-/Hosting-Konfiguration]. Grundlage der erforderlichen Bereitstellung und Absicherung ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist ein funktionsfähiger, gegen Missbrauch geschützter Webauftritt. Erforderlichkeit und Interessenabwägung sind im tatsächlichen Betrieb zu prüfen.

3. Kontaktformular und Ticketbearbeitung

Wir verarbeiten Name, E-Mail-Adresse, Kategorie und Beschreibung Ihres Anliegens sowie optional die Telefonnummer. Hinzu kommen Ticketkennung als Hash, Bearbeitungsstatus, Priorität, Erstellungs- und Änderungszeit sowie gegebenenfalls öffentliche Notizen. Pflichtfelder sind zur Zuordnung und Bearbeitung erforderlich; ohne diese Angaben ist das Formular nicht nutzbar. Die Telefonnummer ist freiwillig. Eine allgemeine gesetzliche Pflicht zur Nutzung des Formulars besteht nicht. Bitte übermitteln Sie keine Passwörter, Zugangsschlüssel oder unnötige sensible Informationen.

Die Kategorien sind Sicherheitsvorfall, Systemausfall, technischer Support, Website & Entwicklung, Beratung & Angebot, Datenschutzanfrage und Sonstiges. Sie bestimmen eine anfängliche organisatorische Priorität. Dies ist keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO; es findet kein Profiling statt.

• Art. 6 Abs. 1 lit. b DSGVO: Bearbeitung von Vertragsfragen und vorvertraglichen Anfragen auf Ihre Initiative, soweit die Voraussetzungen im Einzelfall vorliegen.
• Art. 6 Abs. 1 lit. f DSGVO: sonstige Kommunikation und geordnete Bearbeitung; berechtigtes Interesse ist die Beantwortung eingehender Anliegen. Ihre Interessen sind dabei abzuwägen.
• Art. 6 Abs. 1 lit. c DSGVO: soweit die Verarbeitung zur Erfüllung einer konkreten gesetzlichen Pflicht erforderlich ist, etwa bei Betroffenenrechten; die jeweilige Pflicht und gegebenenfalls Aufbewahrungsnorm sind im Einzelfall zu bestimmen.

Die Checkbox ist ausschließlich eine Kenntnisnahme dieser Hinweise, keine Werbeeinwilligung und keine pauschale Einwilligung als Grundlage der Anfragebearbeitung. Die aktuelle Anwendung betreibt keine Werbung und es erfolgt kein Mailversand. Rückmeldungen können als öffentliche Notizen über den Ticketstatus bereitgestellt werden.

4. Ticketnummer und Statusabfrage

Die zufällige Ticketnummer mit 128 Bit Zufallsanteil wird nur bei Erstellung ausgegeben; in der Datenbank liegt ausschließlich ihr SHA-256-Hash. Bewahren Sie die Nummer vertraulich auf. Für die Statusabfrage sind E-Mail-Adresse und Ticketnummer gemeinsam erforderlich. Diese werden im Anfragekörper statt in der URL übertragen; die Website speichert die Ticketnummer nicht in localStorage oder sessionStorage.

Die Antwort enthält Ticketnummer, Status, Priorität, Kategorie, Erstellungs- und Änderungszeit sowie die vom Betreiber freigegebene öffentliche Notiz. Name, E-Mail-Adresse, Telefonnummer und ursprüngliche Beschreibung werden nicht ausgegeben. Wer die Kombination aus E-Mail-Adresse und Nummer kennt, kann diese Statusinformationen lesen. „Öffentlich“ bedeutet hier gegenüber dieser Kombination sichtbar, nicht frei im Internet veröffentlicht. Der Betreiber darf dort keine vertraulichen Inhalte hinterlegen.

5. Notwendiges Sitzungscookie und Missbrauchsschutz

Beim Aufruf der Formular- oder Statusfunktion setzt die Anwendung das Sitzungscookie cit_session für den CSRF-Schutz gegen fremdausgelöste Anfragen. Es enthält keine Kontaktinhalte oder Ticketnummer. Es ist ein Browsersitzungscookie ohne festes Ablaufdatum (Browser können Sitzungen wiederherstellen), mit HttpOnly und SameSite=Strict. Bei HTTPS-Betrieb muss der Betreiber Secure aktivieren. Es dient nicht der Reichweitenmessung oder Wiedererkennung zu Werbezwecken.

Für die hier beschriebene unbedingt erforderliche Sicherheitsfunktion kommt § 25 Abs. 2 Nr. 2 TDDDG als Ausnahme von der Einwilligungspflicht in Betracht. Für die personenbezogene Sicherheitsverarbeitung gilt Art. 6 Abs. 1 lit. f DSGVO. Ein Cookie-Banner ist bei ausschließlich solchen erforderlichen Zugriffen nach konkreter Prüfung nicht vorgesehen. Das gilt nicht pauschal für spätere Erweiterungen; zusätzliche Dienste erfordern eine neue Prüfung.

Zur Begrenzung von Missbrauch speichert die lokale SQLite-Datenbank einen mit geheimem Schlüssel gebildeten HMAC-Wert aus IP-Adresse, Endpunkt und Zeitfenster sowie Zähler und Ablaufzeit. Dies ist Pseudonymisierung, keine garantierte Anonymisierung. Vorgesehen sind höchstens 5 Anfragen pro 15-Minuten-Fenster für neue Tickets und 20 Statusabfragen pro 5-Minuten-Fenster je ermittelter IP-Adresse. Abgelaufene Zähler werden bei folgenden API-Schreibanfragen bereinigt, nicht durch einen selbstständigen Hintergrunddienst. Ohne weitere Nutzung können sie bis zur betrieblichen Bereinigung bestehen bleiben; hierfür muss der Betreiber eine tatsächliche Löschroutine und Frist festlegen. Proxy-Konfiguration und Zugriffsschutz des Schlüssels müssen geprüft werden.

6. Empfänger, Übermittlungen und lokale Verwaltung

Tickets liegen lokal in einer SQLite-Datenbank und werden durch berechtigte Personen mit einer lokalen Administrations-CLI bearbeitet. Es werden keine externen Kontakt-, Analyse-, Font- oder CDN-Dienste eingebunden. Dies schließt technische Zugriffe durch tatsächlich eingesetzte Hosting- oder Wartungsdienstleister nicht aus.

[PFLICHTANGABE: befugte Empfänger / Empfängerkategorien, Hoster, Wartung und Backup-Dienstleister]. Soweit Dienstleister weisungsgebunden personenbezogene Daten verarbeiten, ist eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich. Drittlandübermittlungen: [PFLICHTANGABE: tatsächliche Verarbeitungsländer und gegebenenfalls Voraussetzungen nach Art. 44 ff. DSGVO; andernfalls nach Prüfung ausdrücklich verneinen]. Eine rein lokale Software beweist keinen ausschließlich deutschen Hostingbetrieb.

7. Speicherdauer und Löschung

Die Speicherung richtet sich nach Bearbeitungszweck, etwaigen Nachweisinteressen und tatsächlich einschlägigen gesetzlichen Aufbewahrungspflichten. [PFLICHTANGABE: begründete Fristen oder konkrete Kriterien für offene und abgeschlossene Anfragen, gesetzlich gebundene Daten, Sicherheitszähler und Protokolle]. Nicht mehr erforderliche Daten sind zu löschen oder bei entgegenstehenden Pflichten auf den zulässigen Zweck zu beschränken.

Als vorläufige Betriebsvoreinstellung ist eine lokale CLI-Bereinigung abgeschlossener Tickets nach 180 Tagen seit letzter Änderung vorgesehen. Sie ist aktiv auszuführen: kein Automatismus, keine gesetzliche Pauschalfrist und keine Zusage tatsächlicher Löschung ohne Betriebskonzept. Vor Verwendung sind die Frist und gesetzliche Ausnahmen zu prüfen. Backup-Aufbewahrung, Rotation, Löschung in Sicherungen und das Verhindern einer dauerhaften Wiedereinspielung gelöschter Daten sind gesondert festzulegen: [PFLICHTANGABE: Backup- und Löschkonzept].

8. Ihre Rechte

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Soweit eine Verarbeitung ausnahmsweise auf Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; die bisherige Rechtmäßigkeit bleibt unberührt. Die reguläre Formularbearbeitung stützt sich nicht auf diese Checkbox als Einwilligung.

Widerspruch nach Art. 21 DSGVO: Soweit wir Daten nach Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Wir verarbeiten dann nicht weiter, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht; derzeit wird keine Direktwerbung betrieben.

Sie können sich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Betreiber zuständige Aufsichtsbehörde: [PFLICHTANGABE: nach Sitz und Zuständigkeit ermitteln; Name, Anschrift und Kontakt ergänzen]. Für die Ausübung Ihrer Rechte können Sie den Verantwortlichen direkt kontaktieren. Eine Ticketnummer ist keine Voraussetzung für die Ausübung gesetzlicher Rechte; erforderlichenfalls wird Ihre Identität verhältnismäßig geprüft.