Datenschutzerklaerung

1. Verantwortlicher

Hebepunkt [Rechtsform ergaenzen]
[Strasse, PLZ Ort]
E-Mail: [datenschutz@hebepunkt.de]
Vertreten durch: Adrian Baetz (Geschaeftsfuehrer)

2. Ueberblick der Verarbeitungen

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist oder Sie eingewilligt haben.

3. Rechtsgrundlagen

Wir verarbeiten Daten auf folgenden Rechtsgrundlagen:

• Vertragserfullung (Art. 6 Abs. 1 lit. b DSGVO) — Registrierung, Nutzung der SaaS-Dienste, Abrechnung
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Sicherheit, Missbrauchsschutz, Fehlerbehebung
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — Analyse-Cookies, optionale Funktionen
• Gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO) — Rechnungen, Steuerunterlagen

4. Erhobene Daten

4.1 Registrierung und Kundenkonto

• E-Mail-Adresse, Name, Passwort (gehasht mit bcrypt)
• Optional: Adresse, Telefon, Land, Sprache
• Rechtsgrundlage: Vertragserfullung
• Speicherdauer: Bis Kontoloeschung, danach 10 Jahre fuer Rechnungsdaten (§147 AO)

4.2 Nutzungsdaten

• IP-Adresse (anonymisiert nach 24h), Zeitstempel, aufgerufene Seiten
• Geraetetyp, Browsertyp (kein Fingerprinting)
• Rechtsgrundlage: Berechtigtes Interesse (Sicherheit, Fehlerbehebung)
• Speicherdauer: 30 Tage

4.3 Zahlungsdaten

• Zahlungsdaten werden direkt von Stripe Inc. verarbeitet
• Wir speichern: Stripe-Kunden-ID, Rechnungshistorie, Zahlungsstatus
• Wir speichern NICHT: Kreditkartennummern, Bankdaten
• Rechtsgrundlage: Vertragserfullung

4.4 Inhaltsdaten (Tantu)

• Kampagnen, NPCs, Szenen, Medien — vom Kunden erstellte Inhalte
• Verarbeitung ausschliesslich zur Diensterbringung
• Kein Zugriff durch den Anbieter ausser zu Supportzwecken mit Zustimmung
• Rechtsgrundlage: Vertragserfullung, ggf. AVV (Art. 28 DSGVO)

4.5 Inhaltsdaten (Gutachter)

• Gutachtentexte, Fotos von Maschinen, PDF-Dokumente
• Koennen personenbezogene Daten Dritter enthalten (Auftraggeber)
• Rechtsgrundlage: Vertragserfullung, AVV

4.6 Telemetrie (anonymisiert)

• Anonymisierte Nutzungsstatistiken (kein Personenbezug)
• IP-Adressen werden vor Speicherung gekuerzt
• Session-IDs werden gehasht (nicht rueckfuehrbar)
• Keine Weitergabe an Dritte
• Rechtsgrundlage: Berechtigtes Interesse

5. Empfaenger und Drittlandtransfers

5.1 Auftragsverarbeiter

5.2 Drittlandtransfers

Bei Transfers in die USA (Stripe, Anthropic) stuetzen wir uns auf:

• EU-Standardvertragsklauseln (SCCs) gemaess Art. 46 Abs. 2 lit. c DSGVO
• Zusaetzliche technische Massnahmen (Verschluesselung, Pseudonymisierung)

6. Cookies und Tracking

6.1 Essenzielle Cookies

• Session-Cookie (Authentifizierung) — zwingend erforderlich
• Sprach-Praeferenz — zwingend erforderlich
• Rechtsgrundlage: Berechtigtes Interesse, keine Einwilligung erforderlich

6.2 Analyse-Cookies

• Nur mit ausdruecklicher Einwilligung (Opt-in ueber Cookie-Banner)
• Anonymisierte Nutzungsanalyse zur Produktverbesserung
• Kein Google Analytics, keine Weitergabe an Werbenetze
• Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)
• Widerruf jederzeit ueber Cookie-Einstellungen moeglich

7. Betroffenenrechte

Sie haben folgende Rechte:

• Auskunft (Art. 15 DSGVO) — Welche Daten wir ueber Sie speichern
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Loeschung (Art. 17 DSGVO) — Loeschung Ihrer Daten ("Recht auf Vergessenwerden")
• Einschraenkung (Art. 18 DSGVO) — Einschraenkung der Verarbeitung
• Datenuebertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Jederzeit ohne Angabe von Gruenden

Zur Ausuebung Ihrer Rechte wenden Sie sich an: [datenschutz@hebepunkt.de]

Datenexport und Kontoloeschung sind auch direkt im Kundenbereich moeglich (Self-Service).

8. Beschwerderecht

Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehoerde (Art. 77 DSGVO).

Zustaendige Aufsichtsbehoerde: [Landesbeauftragte/r fuer Datenschutz des jeweiligen Bundeslandes]

9. Datensicherheit

Wir setzen technische und organisatorische Massnahmen ein:

• TLS-Verschluesselung (HTTPS) fuer alle Verbindungen
• Passwort-Hashing mit bcrypt (nicht umkehrbar)
• Regelmaessige Backups (verschluesselt mit Restic)
• Zugriffskontrolle (rollenbasiert, Zwei-Faktor-Authentifizierung)
• Server in Deutschland (IONOS Rechenzentren)

10. Aenderungen

Wir behalten uns vor, diese Datenschutzerklaerung anzupassen. Die aktuelle Version ist stets unter der jeweiligen Produkt-URL abrufbar.