Informationen zur Datenverarbeitung

Datenschutzhinweise

Stand: 13. November 2026 · technische Arbeitsfassung

1. Verantwortlicher und Kontakt

Verantwortlich für diese private Website ist Sven Dörfler. Bei Fragen zur Verarbeitung Ihrer Daten oder zur Ausübung Ihrer Rechte erreichen Sie ihn unter projekte@sven-doerfler.de.

2. Bereitstellung und Hosting

Diese Website wird bei ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, betrieben. Bei Seitenaufrufen werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserinformationen und Antwortstatus. Sie dienen der Auslieferung der Website, Fehleranalyse und Abwehr von Missbrauch. Die tatsächlich vorgehaltenen Hostingprotokolle und ihre Fristen richten sich nach der Hostingkonfiguration und den vertraglichen Leistungen; sie sind für diese Website noch abschließend zu prüfen.

Als Rechtsgrundlage wird Art. 6 Abs. 1 lit. f DSGVO herangezogen: berechtigtes Interesse an einem sicheren und funktionsfähigen Internetangebot. Informationen des Anbieters finden Sie unter ALL-INKL Datenschutzinformationen. Die vertraglichen Regelungen zur Auftragsverarbeitung sind mit dem Hostingvertrag abzugleichen.

3. Benutzerkonto, Einladung und Projektzugang

Projektzugänge werden persönlich freigegeben. Gespeichert werden E-Mail-Adresse, ein optional selbst gewählter Benutzername, eine interne Benutzer-ID, Kontostatus, Rolle, Projektberechtigungen und zugehörige Zeitpunkte. Ohne eigenen Benutzernamen wird die E-Mail-Adresse verwendet. Passwörter werden als kryptografische Hashwerte gespeichert. Für die Admin-2FA wird das benötigte Geheimnis verschlüsselt gespeichert; Wiederherstellungscodes werden als Hashwerte vorgehalten.

Diese Daten ermöglichen Anmeldung, Zugangsschutz und Verwaltung der freigegebenen Projekte. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, insbesondere zum Schutz des persönlich beschränkten Angebots. Ohne die erforderlichen Kontodaten ist ein geschützter Projektzugang nicht möglich; die öffentlichen Seiten können ohne Benutzerkonto aufgerufen werden. Soweit die E-Mail-Adresse zur Einladung vom Administrator statt von Ihnen selbst eingetragen wird, stammt sie aus Ihrer Kontaktaufnahme bzw. der persönlichen Freigabe durch den Administrator.

Kontodaten bleiben bis zur Löschung des Kontos gespeichert. Das Sperren eines Kontos bewirkt keine Löschung. Beim Löschen werden Zugangsdaten, Benutzername, Projektfreigaben, offene Kontolinks und Wiederherstellungscodes entfernt. Frühere Sicherheitsprotokolle können die Benutzer-ID, E-Mail-Adresse oder den damaligen Benutzernamen weiterhin enthalten; hierfür ist eine gesonderte Löschfrist noch festzulegen.

4. Technische Sitzung und Browserspeicher

Die Anwendung verwendet das Sitzungscookie __Host-sd_session für Anmeldung, Sitzungszuordnung und Schutz von Formularaktionen. Es enthält eine zufällige Sitzungskennung und ist mit Secure, HttpOnly und SameSite=Lax geschützt. Es wird als Sitzungscookie gesetzt. Angemeldete Sitzungen verlieren nach 30 Minuten Inaktivität und spätestens nach acht Stunden ihre Gültigkeit; Abmelden, Sperren oder Änderungen der Zugangsversion beenden den Zugriff ebenfalls.

Beim Öffnen eines Einladungs- oder Passwortlinks kann der dafür benötigte Einmaltoken vorübergehend im Session Storage des jeweiligen Browser-Tabs gespeichert werden. So bleibt er für die Formularbearbeitung verfügbar; er wird nicht zur Verfolgung über Websites hinweg eingesetzt. Einladungslinks gelten 24 Stunden, Passwortlinks eine Stunde und sind nur einmal verwendbar. Das Ablaufen eines Links bedeutet nicht, dass sein technischer Datenbankeintrag sofort gelöscht wird.

Die technisch erforderliche Speicherung und der Zugriff zur Bereitstellung der ausdrücklich gewünschten Sitzungs- und Kontofunktionen werden auf § 25 Abs. 2 Nr. 2 TDDDG gestützt. Soweit personenbezogene Daten verarbeitet werden, gilt ergänzend Art. 6 Abs. 1 lit. f DSGVO.

5. Sicherheits- und Verwaltungsprotokolle

Anmeldungen, 2FA-Ereignisse, Einladungen, Kontosperren, Berechtigungsänderungen und Kontolöschungen werden mit Zeitpunkt, Ereignisart und – soweit zugeordnet – ausführender und betroffener Benutzer-ID protokolliert. Neue Einträge enthalten die Benutzernamen zum Zeitpunkt der Aktion und bei Rechteänderungen die vorherigen und neuen Werte. Das Protokoll ist nur für berechtigte Admins zugänglich. Passwörter, vollständige Einladungslinks, 2FA-Geheimnisse und Wiederherstellungscodes werden nicht in dieses Aktionsprotokoll geschrieben.

Zur Begrenzung von Anmeldeversuchen verarbeitet die Anwendung zusätzlich pseudonymisierte Kennungen aus IP-Adresse oder Anmeldekennung. Im zugehörigen Begrenzungsspeicher werden statt dieser Rohwerte schlüsselabhängige Hashkennungen mit Versuchszähler und Ablaufzeit vorgehalten. Diese Sicherheitsfunktionen stützen sich auf Art. 6 Abs. 1 lit. f DSGVO. Die Anwendung besitzt für das Aktionsprotokoll derzeit noch keine automatische zeitgesteuerte Löschroutine; Aufbewahrungs- und Prüffristen sind Bestandteil der noch offenen Datenschutzkonfiguration.

6. XML-Dateien und PDF-Druck

Im XRechnungs-Viewer ausgewählte XML-Dateien werden lokal im Browser eingelesen und dargestellt. Die Viewerfunktion überträgt weder den XML-Inhalt noch die angezeigten Rechnungsdaten an den Webserver oder einen externen Validierungsdienst. Es findet derzeit keine formale externe XRechnungs-Validierung statt. Die Demo-Rechnungen enthalten ausschließlich fiktive Beispieldaten.

Zurücksetzen entfernt die angezeigte Rechnung aus der Ansicht. Beim PDF-Druck verwenden Sie die Druck- oder Speicherfunktion Ihres Browsers bzw. Betriebssystems. Von Ihnen gespeicherte Dateien oder Druckaufträge verbleiben in Ihrer eigenen Verantwortung und werden durch das Zurücksetzen des Viewers nicht gelöscht.

7. Kontakt, Empfänger und externe Dienste

Bei einer Kontaktaufnahme per E-Mail werden Absenderadresse und Nachrichteninhalt zur Bearbeitung der Anfrage verarbeitet, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO bzw. bei vertragsbezogenen Anfragen Art. 6 Abs. 1 lit. b DSGVO. Nachrichten werden so lange aufbewahrt, wie ihre Bearbeitung und gegebenenfalls einschlägige Aufbewahrungspflichten es erfordern. Der automatische Versand von Einladungen und Passwortlinks durch die Website ist gegenwärtig deaktiviert; persönliche Einladungslinks können vom Administrator weitergegeben werden.

Technischer Empfänger von Website- und Kontodaten ist der eingesetzte Hostinganbieter. Berechtigte Admins können Kontodaten und Verwaltungsprotokolle einsehen. Die Website bindet derzeit keine externen Analyse-, Werbe-, Schrift- oder QR-Code-Dienste ein. GitHub dient der Quellcodeverwaltung; Besucher werden erst beim bewussten Öffnen eines GitHub-Links zu diesem Anbieter weitergeleitet. Produktive Passwörter und XML-Rechnungen werden nicht in das Quellcoderepository aufgenommen.

8. Ihre Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Eine gegebenenfalls erteilte Einwilligung können Sie für die Zukunft widerrufen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.