Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

2. Datenschutzbeauftragter

Die Bestellung eines Datenschutzbeauftragten ist gesetzlich nicht erforderlich (Art. 37 DSGVO i. V. m. § 38 BDSG): Die Verarbeitung erfolgt durch ein Nebengewerbe ohne dauerhaft mehr als 20 mit automatisierter Verarbeitung beschäftigte Personen, eine risikobehaftete Kerntätigkeit (Art. 35 DSGVO) liegt nicht vor. Bei datenschutzrechtlichen Anliegen wenden Sie sich bitte unmittelbar an den oben genannten Verantwortlichen.

3. Zwecke der Verarbeitung und Rechtsgrundlagen

Wir verarbeiten Ihre Daten ausschließlich für klar abgegrenzte Zwecke. Eine Übersicht:

4. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die uns als Auftragsverarbeiter im Sinne von Art. 28 DSGVO unterstützen. Mit jedem dieser Dienstleister besteht ein Vertrag zur Auftragsverarbeitung (AVV).

• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (DE) — Hosting der Anwendung, der Datenbank und der Datei-Volumes (Portal-VPS und separater VPS für unser eigenes Error-Tracking). Server-Standort Deutschland. Webserver-Logs werden 90 Tage aufbewahrt.
• IONOS SE (E-Mail-Service, DE) — Versand transaktionaler E-Mails (Einladungen, Magic-Links, Login-Benachrichtigungen, PDF-Quittungen) über service@tsd-studio.de. SPF, DKIM und DMARC sind aktiv.
• Brevo SAS, 106 Boulevard Haussmann, 75008 Paris (FR) — Bedingt aktiv: Bei einem Ausfall des primären E-Mail-Wegs (IONOS) kann Brevo (vormals Sendinblue) als Fallback verwendet werden. Im Regelbetrieb werden keine Daten an Brevo übermittelt. Sofern aktiviert, gilt der DPA von Brevo; Sub-Prozessoren werden vorher geprüft.
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (DE) — Off-Site-Backup auf einer „Storage Box" via SFTP. Sämtliche Backup-Inhalte werden vor dem Upload mit GPG verschlüsselt; Hetzner erhält ausschließlich verschlüsselte Daten ohne Zugriff auf Klartext-Inhalte.
• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA — Bot-Schutz auf Login-, Passwort-Reset- und Freigabe-Formularen via Cloudflare Turnstile (siehe Abschnitt 5 und Abschnitt 8).
• UptimeRobot Service Provider Ltd., Limassol (CY), teilweise Server in den USA — externes Verfügbarkeits-Monitoring des Health-Endpoints. Es werden keine personenbezogenen Daten übermittelt; geprüft wird ausschließlich die HTTP-Antwort der Anwendung.
• GitHub, Inc., San Francisco (USA) — Aufnahme eines täglichen Anker-Commits unserer Audit-Hash-Chain in ein öffentliches Repository (tsd-studio/tsd-studio-audit-anchors). Übermittelt werden ausschließlich Hashwerte (siehe Abschnitt 10); keine personenbezogenen Daten.
• Have I Been Pwned (Troy Hunt, AU; Edge-Auslieferung über Cloudflare/USA) — Prüfung beim Setzen neuer Passwörter, ob das gewählte Passwort in bekannten Datenlecks vorkommt. Übermittelt werden lediglich die ersten fünf Hex-Zeichen eines SHA-1-Hashes (k-Anonymity); kein Klartext-Passwort und keine E-Mail-Adresse (siehe Abschnitt 13).
• GlitchTip (Eigenbetrieb) — Wir betreiben einen eigenen Sentry-kompatiblen Error-Tracker auf einem separaten IONOS-VPS in Deutschland. Es handelt sich um eine eigene Verarbeitung, keine Auftragsverarbeitung. Sensible Felder (Passwörter, Tokens, Cookies, Authorization-Header) werden vor dem Schreiben entfernt.

5. Übermittlung in Drittländer

Bei den folgenden Diensten kann es zu einer Übermittlung personenbezogener Daten in die USA oder andere Drittländer kommen:

• Cloudflare Turnstile (USA) — Bei Aufruf der Login-, Passwort-Reset- und Freigabe-Seiten kann Ihre IP-Adresse, Ihr User-Agent sowie technische Browser-Telemetrie an Cloudflare in die USA übermittelt werden. Garantien: EU-US Data Privacy Framework (Cloudflare ist seit 2023 zertifiziert) sowie EU-Standardvertrags­klauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
• GitHub (USA) — Tägliche Veröffentlichung des Anker-Commits. Es werden ausschließlich Hashes übermittelt; Garantien: EU-US Data Privacy Framework und SCC.
• Have I Been Pwned / Cloudflare-Edge (USA) — Übermittelt werden nur fünf Hex-Zeichen eines Hash-Präfixes (k-Anonymity); ein Personenbezug ist praktisch ausgeschlossen. Vorsorglich behandeln wir den Vorgang wie einen Drittlandtransfer und stützen ihn auf SCC sowie auf das Data Privacy Framework.
• UptimeRobot (CY und USA) — Übermittelt werden ausschließlich technische Health-Daten ohne Personenbezug.

Wir prüfen laufend, ob für Cloudflare Turnstile die Option „Region: EU only" sinnvoll ist, um den Drittlandtransfer weiter zu reduzieren.

6. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich oder gesetzlich vorgeschrieben ist:

• Stammdaten (Name, Firma, E-Mail) — bis zur Löschungsanforderung; nach Soft-Delete erfolgt nach 30 Tagen eine Pseudonymisierung.
• Login-/Session-Metadaten (IP, User-Agent) — 30 Tage.
• Magic-Link-Token-Metadaten — 30 Tage nach Ablauf des Tokens.
• Audit-Log — mindestens 10 Jahre (gesetzliche Aufbewahrungs­pflichten nach § 257 HGB / § 147 AO), danach Pseudonymisierung.
• Freigabe-Entscheidungen (inkl. Decision-IP/UA, Bestätigungstext, PDF-Quittung) — 10 Jahre.
• Hochgeladene Artefakte — bis zum Soft-Delete bzw. Hard-Delete durch den Verantwortlichen.
• Webserver-Logs — 90 Tage.
• Off-Site-Backups — 30 Tage täglich, ergänzt um 12 Monatsschnappschüsse, GPG-verschlüsselt.

7. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden", Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21)
• Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu werden (Art. 22) — eine solche findet im Portal nicht statt

Sie können Ihre personenbezogenen Daten jederzeit selbst exportieren oder Ihren Account löschen. Alternativ richten Sie Ihre Anfrage per E-Mail an tscharf@tsd-studio.de. Die Bearbeitungsfrist beträgt einen Monat (Art. 12 Abs. 3 DSGVO).

8. Cookies und ähnliche Technologien

Das Portal setzt grundsätzlich nur technisch erforderliche Cookies im Sinne des § 25 Abs. 2 Nr. 2 TTDSG. Es werden keine Cookies für Analyse-, Werbe- oder Tracking-Zwecke eingesetzt.

8.1 Vom Portal selbst gesetzte Cookies

Backend-gesetzte Cookies tragen das Suffix _Prod (Produktion) bzw. _Staging (Test-Umgebung). Clientseitig gesetzte Cookies wie tsdportal.consent sind umgebungsneutral und tragen kein Suffix (D-RB-01). Alle serverseitig gesetzten Cookies sind mit den Flags HttpOnly, Secure und SameSite=Lax versehen.

8.2 Cookies durch Cloudflare Turnstile (Bot-Schutz)

Wenn Sie der Aktivierung des Bot-Schutzes zustimmen, kann Cloudflare kurzlebige Challenge-Cookies setzen:

Wenn Sie den Bot-Schutz nicht aktivieren, ist eine Anmeldung am Portal nicht möglich. Das ist die zwingende Folge eines Widerspruchs nach Art. 21 DSGVO gegen die Bot-Schutz-Verarbeitung — eine alternative Login-Strecke ohne Bot-Schutz steht aus Sicherheitsgründen nicht zur Verfügung.

8.3 Lokaler Speicher (localStorage)

Neben Cookies setzt das Portal im lokalen Browserspeicher (localStorage) folgenden Eintrag:

Der Wert verbleibt ausschließlich im Browser des Nutzers und wird nicht an unsere Server übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TTDSG (technisch erforderlich für die vom Nutzer angeforderte Personalisierung).

9. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Wir setzen technische und organisatorische Maßnahmen nach dem Stand der Technik ein:

• Transportverschlüsselung mit TLS 1.2/1.3 erzwungen (HSTS aktiv)
• Strenge Content-Security-Policy, X-Frame-Options, X-Content-Type-Options
• Passwort-Hashing mit PBKDF2 (hohe Iterationszahl, Pepper)
• TOTP-Geheimnisse verschlüsselt gespeichert via ASP.NET DataProtection (Schlüsselring im verschlüsselten Backup enthalten)
• Backups vor Upload mit GPG asymmetrisch verschlüsselt
• Audit-Log fälschungsresistent als Hash-Chain (siehe Abschnitt 10)
• Rate-Limiting auf sicherheits­kritischen Endpunkten via Redis
• Bot-Schutz auf Login-, Passwort-Reset- und Freigabe-Formularen
• Härtung der Server (geschlossene Standardports, Fail-Open-Vermeidung)
• Strikte Trennung zwischen Produktion und Test (eigene Datenbanken, eigene Schlüssel)

10. Audit-Log und öffentlicher Hash-Anker

Sicherheits- und Vertragsrelevante Aktionen (z.B. Logins, Datei-Uploads, Freigaben, Änderungen) werden in einem manipulationssicheren Audit-Log festgehalten. Jeder Eintrag ist mit dem Hash des vorhergehenden Eintrags verkettet (Hash-Chain), sodass nachträgliche Veränderungen erkennbar werden.

Einmal täglich wird der Wurzel-Hash dieser Kette als „Anker" in ein öffentliches GitHub-Repository (tsd-studio/tsd-studio-audit-anchors) committet. Der Anker enthält ausschließlich Hashwerte (über bereits gehashtes Material) und Zeitstempel — keine personenbezogenen Daten und keine Inhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 257 HGB / § 147 AO sowie Art. 6 Abs. 1 lit. f DSGVO (Beweissicherung). Die Aufbewahrung erfolgt für mindestens 10 Jahre.

11. Auftragsverarbeitung durch TSD Studio

Soweit Sie als Kunde im Portal personenbezogene Daten Ihrer eigenen Endkundinnen und Endkunden verarbeiten lassen (z.B. in Projekt­dokumenten), sind wir insoweit Ihr Auftragsverarbeiter im Sinne von Art. 28 DSGVO. In diesem Fall schließen wir mit Ihnen einen Vertrag zur Auftrags­verarbeitung. Ein Mustervertrag steht unter /legal/avv zur Einsicht bereit; verbindlich ist die unterzeichnete Fassung.

12. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

13. Passwort-Leak-Prüfung (Have I Been Pwned)

Beim Festlegen eines neuen Passworts prüfen wir, ob das Passwort in bekannten Datenlecks aufgetaucht ist. Wir senden hierzu nur die ersten fünf Hex-Zeichen eines SHA-1-Hashes an die Have-I-Been-Pwned-API (k-Anonymity nach Cloudflare-Spezifikation). Es werden weder das Klartext-Passwort noch Ihre E-Mail-Adresse übermittelt. Die Antwort enthält rund 500 Hash-Suffixe; ein Personenbezug ist daraus praktisch nicht herstellbar.

Antworten werden 24 Stunden im Arbeitsspeicher zwischengespeichert, um unnötige Anfragen zu vermeiden. Sollte die Prüfung technisch nicht verfügbar sein, wenden wir eine Fail-Open-Policy an: Sie können dann ein Passwort setzen, das zumindest unsere lokalen Mindestanforderungen (Länge, Komplexität) erfüllt.

14. Bot-Schutz mit Cloudflare Turnstile

Auf den Seiten Login, Passwort-Reset und Magic-Link-Freigabe setzen wir Cloudflare Turnstile ein. Anbieter: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Cloudflare prüft, ob die Anfrage mit hoher Wahrscheinlichkeit von einem Menschen oder von einem Bot stammt, und übermittelt das Ergebnis als Token an unseren Server.

Übermittelt werden u.a. Ihre IP-Adresse, der User-Agent, technische Browser-Header sowie minimale Maus- und Tastatur-Telemetrie zur Bot-Erkennung. Die Verarbeitung findet auch in den USA statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Brute-Force- und Bot-Angriffen). Garantien: EU-US Data Privacy Framework und Standardvertragsklauseln (SCC).

Sie können dem Bot-Schutz widersprechen (Art. 21 DSGVO). Folge des Widerspruchs: Eine Anmeldung, ein Passwort-Reset oder eine Freigabe-Bestätigung sind dann technisch nicht möglich. Die Widerspruchs­möglichkeit ist im Cookie-Hinweis-Banner umgesetzt („Nur essenzielle Cookies"). Weitere Informationen finden Sie in der Cloudflare-Datenschutzerklärung .