Datenschutz

Personenbezogene Daten werden nur verarbeitet, soweit dies für die technische Bereitstellung, die Beantwortung einer Anfrage, vorvertragliche Maßnahmen, die Vertragserfüllung oder die Wahrung berechtigter Interessen erforderlich ist. Je nach Vorgang kommen insbesondere Art. 6 Abs. 1 lit. a, b, c oder f DSGVO als Rechtsgrundlage in Betracht.

Daten werden gelöscht, sobald der Verarbeitungszweck entfällt und keine gesetzlichen Aufbewahrungspflichten oder sonstigen zulässigen Gründe für eine weitere Speicherung bestehen. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Der technische Betrieb und die Betreuung dieser Website erfolgen im Auftrag von Conventu-Concept durch Void Vision AI auf einer verwalteten Serverinfrastruktur. Beim Abruf verarbeitet der Server technisch erforderliche Verbindungsdaten. Dazu können IP-Adresse, Browsertyp und Browserversion, Betriebssystem, Referrer-URL, Hostname, Zeitpunkt und angeforderte Datei gehören.

Die Verarbeitung dient der sicheren, stabilen und fehlerfreien Bereitstellung der Website auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Protokolldaten werden nur so lange gespeichert, wie sie für Betrieb, Fehleranalyse und Missbrauchsabwehr erforderlich sind, und anschließend gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Zur sicheren und schnellen Bereitstellung der Website wird Cloudflare als vorgelagerter Reverse Proxy eingesetzt. Cloudflare verarbeitet dabei technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, angeforderte Adresse, Zeitstempel sowie Sicherheits- und Geräteinformationen. Die Verarbeitung dient der Abwehr automatisierter Angriffe, der Erkennung missbräuchlicher Zugriffe und der stabilen Auslieferung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Der Login des internen Bereichs verwendet Cloudflare Turnstile. Die Prüfung bewertet technische Signale, um automatisierte Anmeldeversuche von menschlichen Zugriffen zu unterscheiden. Sie wird ausschließlich auf der Anmeldeseite geladen und ist für den Schutz der Zugangsdaten technisch erforderlich. Weitere Informationen enthält die Datenschutzerklärung von Cloudflare (öffnet in neuem Tab).

Das Anfrageformular erzeugt einen mailto:-Aufruf und öffnet einen vorbereiteten Entwurf im auf Ihrem Gerät eingerichteten E-Mail-Dienst. Die Website speichert die dort eingegebenen Angaben nicht in ihrer Datenbank. Erst wenn Sie die E-Mail absenden, werden die Angaben an Conventu-Concept übermittelt.

Die geschäftliche E-Mail-Kommunikation wird über Microsoft 365 verarbeitet. Weitere Informationen zur Verarbeitung durch Microsoft finden Sie in der Datenschutzerklärung von Microsoft (öffnet in neuem Tab). Bei vertragsbezogenen Anfragen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, ansonsten regelmäßig auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Der WhatsApp-Verweis öffnet den externen Dienst erst nach einem bewussten Klick. Dabei können Verbindungs- und Kommunikationsdaten durch WhatsApp beziehungsweise Meta verarbeitet werden. Telefon und E-Mail stehen als alternative Kontaktwege bereit.

Der nicht öffentlich verlinkte interne Bereich ist ausschließlich für berechtigte Beschäftigte und beauftragte Personen vorgesehen. Bei der Anmeldung werden E-Mail-Adresse, ein sicherer Passwort-Hash, Rolle, Berechtigungen, Sitzungsstatus und Zeitpunkt der letzten Anmeldung verarbeitet. Ein technisch notwendiges, auf acht Stunden begrenztes Sitzungscookie hält die Anmeldung aufrecht.

Benutzer können eine zeitbasierte Zwei-Faktor-Authentifizierung aktivieren. Der zugehörige TOTP-Schlüssel wird mit AES-256-GCM verschlüsselt gespeichert. Wiederherstellungscodes werden nur einmal vollständig angezeigt; in der Datenbank liegen anschließend ausschließlich kryptografische Prüfwerte. Eine noch nicht abgeschlossene Einrichtung und die Anmeldebestätigung laufen jeweils nach kurzer Zeit ab.

Änderungen an Notdienstzeiten, Laufband, Projekten, Benutzern, Rollen und Bildern werden zur Nachvollziehbarkeit protokolliert. Hochgeladene Seiten- und Projektbilder liegen in einem geschützten Speicherbereich; zugehörige Metadaten werden in der Datenbank gespeichert. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie, soweit Beschäftigtendaten betroffen sind, § 26 BDSG.

Die Kartenansicht wird erst nach einer ausdrücklichen Auswahl geladen. Bei Google Maps stellt der Browser anschließend eine Verbindung zu Google her; bei OpenStreetMap werden Kartenkacheln von der OpenStreetMap-Infrastruktur abgerufen. Dabei können technisch notwendige Verbindungsdaten wie die IP-Adresse an den jeweils ausgewählten Kartendienst übermittelt werden.

Weitere Informationen finden Sie in der Datenschutzerklärung von Google (öffnet in neuem Tab) und der Datenschutzrichtlinie der OpenStreetMap Foundation (öffnet in neuem Tab). Die externe Routenplanung wird ebenfalls erst durch einen bewussten Klick geöffnet.

Die Einwilligungsentscheidung wird im technisch notwendigen Cookie cc_consent_v1 für sechs Monate gespeichert. Es enthält die Consent-Version, die aktivierten Kategorien und den Zeitpunkt der Auswahl. Diese Speicherung ist erforderlich, damit die Website Ihre Entscheidung beachtet und nicht bei jedem Aufruf erneut fragt.

Nur wenn Sie „Pseudonyme Statistik“ erlauben, zählt die Website Gesamtbesucher und innerhalb der letzten fünf Minuten aktive Sitzungen. Dafür werden die zufällige Besucher-ID cc_visitor_id_v1 im lokalen Browserspeicher und die Sitzungs-ID cc_visitor_session_v1 im Sitzungsspeicher angelegt. Serverseitig werden ausschließlich HMAC-Pseudonyme gespeichert. IP-Adresse, User-Agent, Geräteinformationen und Fingerprints werden nicht in der Statistik gespeichert; externe Analysedienste und Werbeprofile kommen nicht zum Einsatz. Angezeigt werden nur ein pseudonymes Gastkürzel, die besuchte Seite und die letzte Aktivität. Zum Schutz vor automatisiertem Missbrauch wird die beim Abruf technisch anfallende IP-Adresse nur flüchtig verarbeitet und sofort in einen geheim abgeleiteten Begrenzungsschlüssel umgewandelt; die rohe IP-Adresse wird dafür nicht gespeichert. Abgelaufene Begrenzungseinträge werden regelmäßig bereinigt.

Statistiksitzungen werden nach einem Tag gelöscht. Inaktive Besucher-Pseudonyme werden nach 13 Monaten entfernt. Der daraus gebildete, rein aggregierte Gesamtbesucherwert bleibt erhalten. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Sie können die Entscheidung jederzeit über „Cookie-Einstellungen“ im Footer mit Wirkung für die Zukunft ändern oder widerrufen. Beim Widerruf werden die lokalen Statistikkennungen sofort entfernt und die Löschung des zugehörigen serverseitigen Pseudonyms angefordert. Ein kryptografisch getrenntes, nicht mit dem Statistikprofil verknüpftes Sperrpseudonym verhindert anschließend für 15 Minuten, dass ein bereits abgesendetes Signal das Profil erneut anlegt; danach wird es gelöscht. Ist der Server beim Widerruf vorübergehend nicht erreichbar, greift spätestens die genannte automatische Löschfrist. Der bereits anonym aggregierte Gesamtwert bleibt unverändert.

Präferenz- und Marketingdienste werden nicht eingesetzt. Externe Karteninhalte werden unabhängig davon erst nach Ihrer bewussten Auswahl geladen.

Nach einer erfolgreichen Anmeldung setzt der interne Bereich das technisch notwendige, auf acht Stunden begrenzte Cookie cc_intern_auth. Es ist vor JavaScript-Zugriff geschützt und dient ausschließlich der serverseitig geprüften Sitzung. Wenn für das Benutzerkonto 2FA aktiv ist, hält cc_intern_2fa_challenge die noch nicht abgeschlossene Bestätigung höchstens fünf Minuten lang fest und wird danach oder nach erfolgreicher Anmeldung gelöscht.

Beim Speichern von Website-Einstellungen kann der interne Bereich im lokalen Browserspeicher den Schlüssel conventu-site-runtime-updated-at mit einem Änderungszeitpunkt ablegen, damit bereits geöffnete Tabs die Darstellung aktualisieren.

Betroffene Personen können im Rahmen der gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.

Erfolgt eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO, kann aus Gründen der persönlichen Situation Widerspruch eingelegt werden. Gegen eine Verarbeitung für Direktwerbung kann jederzeit widersprochen werden; die betroffenen Daten werden anschließend nicht mehr für diesen Zweck verwendet.