Datenschutzerklaerung

1. Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO ist der im Impressum genannte Diensteanbieter.

2. Server-Logdateien

Beim Aufruf dieser Webseite erhebt der eingesetzte Reverse-Proxy (Caddy) automatisch technische Daten in Server-Logdateien:

• IP-Adresse des aufrufenden Rechners
• Datum und Uhrzeit des Zugriffs
• Aufgerufene URL und HTTP-Statuscode
• Uebertragene Datenmenge
• Referrer (falls vom Browser uebertragen)
• Browser-Kennung (User-Agent)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Sicherheit, Fehlerdiagnose, Missbrauchserkennung).

Speicherdauer: 7 Tage, danach automatische Loeschung durch Logrotation des Docker-Loggings.

Empfaenger: Keine Weitergabe an Dritte.

3. Cookies und lokale Speicherung

ValiDachs setzt im Rahmen der Beta-Phase ausschliesslich technisch notwendige Cookies ein. Es werden keine Tracking- oder Werbe-Cookies geladen, solange der Nutzer dem nicht ueber den Cookie-Banner ausdruecklich zustimmt.

Strict-necessary Cookies (technisch erforderlich, kein Consent)

• validachs_user — Authentifizierungs-Session nach Login. httpOnly. Speicherdauer: 30 Tage oder bis Logout. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung) + § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderlich).
• validachs_beta_code — HMAC-signiertes Beta-Code-Token, das den Zugang zur geschlossenen Beta-Phase oeffnet. httpOnly. Speicherdauer: 90 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO + § 25 Abs. 2 Nr. 2 TTDSG.

Lokale Browser-Speicherung (LocalStorage)

• validachs_consent — speichert die Cookie-Banner-Entscheidung des Nutzers (z.B. "Statistik-Cookies abgelehnt"). Wird vom Browser nicht an den Server uebermittelt. Speicherdauer: bis zum manuellen Loeschen oder Klick auf "Cookie-Einstellungen" im Footer. Rechtsgrundlage: Speicherung der Consent-Entscheidung gilt nach Aufsichtsbehoerden-Konsens als technisch erforderlich (kein Consent fuer den Speicher-Vorgang selbst).
• theme — speichert die Hell/Dunkel- Modus-Praeferenz des Nutzers. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderlich fuer die nutzerseitig konfigurierbare Darstellung).

Optionale Cookies (zustimmungspflichtig)

Derzeit werden in der Beta-Phase keine optionalen Cookies (Statistik, Marketing) geladen. Der Cookie-Banner zeigt eine Statistik-Kategorie als Vorbereitung fuer eine spaetere Aktivierung von Plausible Analytics (self-hosted). Solange diese Kategorie nicht zugestimmt wird (Default = abgelehnt), wird kein Statistik-Skript geladen.

4. Keine Tracking-Tools

ValiDachs verwendet derzeit keine Analyse- oder Tracking-Dienste. Der Cookie-Banner zeigt eine Statistik-Kategorie als Vorbereitung fuer eine spaetere Aktivierung von Plausible Analytics (self-hosted, DSGVO-konform). Es gibt kein Google Analytics, keine Social-Media-Pixel und keine vergleichbaren Drittanbieter-Dienste.

5. Selbstgehostete Schriftarten

Die verwendete Schriftart Inter wird ausschliesslich vom eigenen Server geladen. Es erfolgt kein Abruf von externen Servern (kein Google Fonts CDN).

6. Rechte der betroffenen Personen

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Loeschung (Art. 17 DSGVO)
• Einschraenkung der Verarbeitung (Art. 18 DSGVO)
• Datenuebertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehoerde (Art. 77 DSGVO)

Self-Service ueber /account: Eingeloggte Nutzer koennen ihre Rechte direkt ausueben:

• DSGVO-Datenexport (Art. 15 + 20): Auf /account den Button "Daten exportieren" klicken — der Server liefert sofort eine JSON-Datei mit allen gespeicherten Profil-, Audit-Log-, Recherche- und Chart-Daten.
• Account-Loeschung (Art. 17): Auf /account den Button "Konto loeschen" klicken und mit Eingabe des Wortes "LOESCHEN" bestaetigen — der Server loescht User-Profil, Recherchen und zugehoerige Daten unverzueglich; der Audit-Log-Eintrag der Loeschung selbst bleibt 10 Jahre erhalten (gesetzliche Aufbewahrungspflicht fuer Sicherheits-/Missbrauchs-Nachvollziehbarkeit, anonymisiert).

Fuer alle weiteren Anliegen stehen wir per E-Mail unter kontakt@validachs.de zur Verfuegung.

7. Auftragsverarbeiter

ValiDachs setzt folgende Auftragsverarbeiter gemäß Art. 28 DSGVO ein. Mit allen besteht ein Auftragsverarbeitungsvertrag (AVV):

• Resend (Resend Inc.) — Versand transaktionaler E-Mails (Email-Verifikation, Tarif-Wechsel-Bestaetigungen, Beta-Code-Mails). Übermittelt werden Email-Adresse + E-Mail-Inhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. AVV: Resend Standard-DPA (resend.com/legal/dpa).
• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) — Server-Hosting der ValiDachs-Plattform in Frankfurt am Main, Deutschland (DSGVO-konform durch Datenresidenz EU). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag.
• Migadu-Mail GmbH (Rohnen 587, 9414 Schachen, Schweiz) — Empfang und Speicherung von E-Mails, die an kontakt@validachs.de geschickt werden (z.B. Anfragen, Widerrufe, Antworten auf unsere E-Mails). Verarbeitet werden Absenderadresse, Name, Inhalt und Anhänge der E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anfragen zu einem Vertrag) bzw. lit. f DSGVO (Beantwortung sonstiger Anfragen). Die E-Mails werden gelöscht, sobald die Anfrage erledigt ist, soweit keine gesetzliche Aufbewahrungspflicht besteht (geschäftliche Korrespondenz bis zu 6 Jahre). Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Grundlage der Auftragsverarbeitung ist die Datenschutzerklärung von Migadu, die zugleich als Auftragsverarbeitungsvertrag gilt (migadu.com/privacy).
• OpenAI (OpenAI Ireland Ltd., Dublin, Irland) — KI-Unterstützung der Antwortmaschine. Findet die Antwortmaschine zu einer Frage keinen passenden Begriff im Datenkatalog, wird der Fragetext an OpenAI übermittelt, um Suchbegriffe in der Sprache der amtlichen Statistik vorzuschlagen. Zu gefundenen Antworten lassen wir einen zusammenfassenden Satz formulieren; dafür werden der Fragetext und die gefundenen amtlichen Werte übermittelt. Konto-Daten, E-Mail-Adresse und IP-Adresse werden nicht übermittelt; die Anfrage stellt unser Server. Zahlen und Fundstellen der Antwort stammen nie von der KI – ein KI-formulierter Satz wird nur gezeigt, wenn jede Zahl darin belegt ist, und ist als solcher gekennzeichnet. Beim Faktencheck gilt dasselbe für den Text einer Behauptung: Er wird nur übermittelt, wenn unsere feste Regel die Behauptung nicht selbst lesen kann. Bei der Grafikprüfung wird das hochgeladene Bild an OpenAI übermittelt, um die darin abgebildeten Zahlen und Beschriftungen auszulesen; wir speichern das Bild nicht, es wird nach der Prüfung verworfen. Das Urteil zu jeder Zahl bilden wir selbst anhand der amtlichen Quelle, nie die KI. Bitte gib in Fragen keine personenbezogenen Daten ein und lade keine Bilder mit personenbezogenen Daten hoch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer verständlichen Suche). Grundlage der Auftragsverarbeitung ist das Data Processing Addendum von OpenAI für API-Kunden. Nach den Bedingungen von OpenAI für die API werden Eingaben nicht zum Training verwendet und höchstens 30 Tage zur Missbrauchserkennung gespeichert. Eine Verarbeitung in den USA ist möglich; sie stützt sich auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln der EU-Kommission.

KI-Dienste: Außer dem oben genannten Einsatz von OpenAI für Antwortmaschine und Faktencheck werden keine Eingaben von Nutzer:innen an KI-Dienste Dritter übermittelt.

7a. Kauf, Zahlung und Rechnungen

Rechnungsanschrift: Für jeden Kauf stellen wir eine Rechnung aus. Dafür speichern wir Name, optional Firma/Organisation und Anschrift. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. c DSGVO (Pflicht zur Rechnungsstellung).

PayPal: Bei Zahlung per PayPal wirst du zu PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, weitergeleitet. PayPal verarbeitet deine Zahlungsdaten als eigenständiger Verantwortlicher; wir übermitteln Betrag, Bestellnummer und eine interne Kennung, und erhalten von PayPal die Bestätigung der Zahlung. Es gilt die Datenschutzerklärung von PayPal. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Kauf auf Rechnung (Überweisung): Geht deine Überweisung ein, erfassen wir Datum, Betrag, Kontoinhaber, IBAN, BIC und Bank sowie den Verwendungszweck, um die Zahlung deiner Rechnung zuzuordnen und – etwa nach einem Widerruf – eine Rückzahlung vornehmen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

Aufbewahrung: Rechnungen und Zahlungsbelege bewahren wir gemäß § 147 AO und § 257 HGB acht Jahre auf – auch dann, wenn du dein Konto löschst; danach werden sie gelöscht.

8. Engagement-Tracking (Phase 511)

Bei eingeloggten Nutzer:innen werden vier Klick-Events anonym aggregierbar gespeichert: „Visualisieren", „Bericht exportieren", „Korrelations-Vorschlag" und „Recherche speichern". Zweck ist die statistische Auswertung der Plattform-Nutzung zur Produktverbesserung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfuellung). Anonyme Besucher werden nicht getrackt. Aufbewahrung: 24 Monate, danach automatische Löschung.

9. Aufsichtsbehoerde

Zustaendig ist die Datenschutzaufsichtsbehoerde des Bundeslandes, in dem der Diensteanbieter seinen Sitz hat. Eine Liste der deutschen Aufsichtsbehoerden findet sich auf der Webseite des Bundesbeauftragten fuer den Datenschutz und die Informationsfreiheit (BfDI).