Zum Inhalt springen

Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website verarbeitet werden. Für die Verarbeitung innerhalb der Software KlardoIdent gelten die jeweils gesonderten Vereinbarungen. Betreiben Sie die Software selbst, sind Sie für die dortigen Verarbeitungen verantwortlich; betreiben wir Ihren Mandanten in unserer Cloud, gilt der zwischen uns geschlossene Vertrag zur Auftragsverarbeitung.

1. Verantwortlicher

Klardo GmbH
Köpenicker Str. 40–41
10179 Berlin
Deutschland
E-Mail: contact@klardo-ident.com

2. Aufruf der Website: Verbindungs- und Protokolldaten

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Daten, die unser Webserver benötigt, um die angeforderte Seite ausliefern zu können: die IP-Adresse des anfragenden Geräts, Datum und Uhrzeit der Anfrage, die aufgerufene Adresse, den HTTP-Statuscode, die übertragene Datenmenge, die Referrer-Adresse, sofern Ihr Browser sie übermittelt, sowie Browsertyp und Betriebssystem. Diese Daten werden für die Dauer der Verbindung im Arbeitsspeicher verarbeitet.

Für diese Website führen wir kein Zugriffsprotokoll. Der Webserver protokolliert die einzelnen Seitenaufrufe nicht; die genannten Daten werden nach der Auslieferung der Seite verworfen. Dasselbe gilt für den unter Ziffer 4 genannten Messdienst.

Protokolliert werden ausschließlich technische Fehler und Systemereignisse, etwa eine fehlgeschlagene Auslieferung oder ein Fehler der Serversoftware. Ein solcher Eintrag kann die IP-Adresse und die aufgerufene Adresse enthalten. Diese Protokolle liegen im Systemprotokoll des Servers, werden nicht ausgewertet und nicht mit anderen Daten zusammengeführt und laufen fortlaufend über: Das Systemprotokoll ist auf insgesamt 1 GB begrenzt, ist diese Grenze erreicht, werden die ältesten Einträge gelöscht. Kriterium für die Speicherdauer ist damit das Aufkommen an Fehlerereignissen. Werden einzelne Einträge zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt, verarbeiten wir sie getrennt weiter und löschen sie, sobald der Vorfall abschließend aufgeklärt ist und keine Aufbewahrungs- oder Beweissicherungsgründe mehr bestehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb der Website sowie in der Abwehr von Angriffen.

Für die Anmelde-, Token- und Verwaltungspfade unseres Cloud-Dienstes (auth.klardo-ident.com, app.klardo-ident.com) gilt das nicht: dort führen wir ein Zugriffsprotokoll, weil ein Identitätsdienst nachvollziehbar bleiben muss. Geheimnisse wie Autorisierungscodes, Token, Passwörter und E-Mail-Codes werden dabei ersetzt, bevor der Eintrag geschrieben wird. Betreiben wir Ihren Mandanten, ist diese Verarbeitung Teil der Auftragsverarbeitung nach Ziffer 6.3.

3. Cookies und externe Inhalte

Diese Website setzt keine Cookies und bindet keine Inhalte Dritter ein. Alle Schriften, Stylesheets und Grafiken werden von unserem eigenen Server ausgeliefert; es findet keine Verbindung zu einem Content Delivery Network statt.

4. Reichweitenmessung mit Umami

Um zu verstehen, welche Seiten aufgerufen werden, setzen wir Umami ein, eine Open-Source-Software zur Reichweitenmessung, die wir selbst betreiben. Sie läuft als analytics.klardo-ident.com auf unserer eigenen Infrastruktur beim unter Ziffer 7 genannten Hoster; die erhobenen Daten verlassen unseren Verantwortungsbereich nicht und werden an keinen Dritten übermittelt. Ihr Browser ruft dabei ausschließlich Adressen dieser Website auf: Das Messskript und der Empfang der Messwerte laufen über den Pfad /analytics/ unserer eigenen Domain, sodass keine Verbindung zu einem anderen Rechnernamen aufgebaut wird. Die Auswertungsoberfläche von Umami ist aus dem Internet nicht erreichbar. Insbesondere kommen weder Google Analytics noch ein vergleichbarer Dienst zum Einsatz.

Die Messung findet nur statt, wenn Sie eingewilligt haben. Beim ersten Aufruf fragen wir Sie mit einem Hinweisfeld am unteren Rand der Seite. Bis Sie dort auf „Einverstanden” klicken, wird das Messskript nicht geladen und es werden keine Daten an unsere Messinstanz übermittelt. Lehnen Sie ab, unterbleibt die Messung dauerhaft. Beide Schaltflächen sind gleichwertig gestaltet; das Ablehnen kostet Sie nicht mehr Klicks als das Zustimmen.

Rechtsgrundlage für das Laden des Messskripts und den damit verbundenen Zugriff auf Ihr Endgerät ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung der erhobenen Daten Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Dazu genügt die Schaltfläche „Analyse-Einstellungen” im Fußbereich jeder Seite; sie öffnet dasselbe Hinweisfeld erneut. Der Widerruf ist damit so einfach wie die Erteilung. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Gespeichert wird auf Ihrem Gerät ausschließlich Ihre Entscheidung selbst, im lokalen Speicher des Browsers unter klardo.analytics-consent, bei einer Ablehnung zusätzlich der Schalter umami.disabled. Dieser Zugriff ist unbedingt erforderlich, um Ihre Entscheidung über den einzelnen Seitenaufruf hinaus zu beachten, und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Er dient keiner Wiedererkennung.

Umami setzt keine Cookies und legt keine Kennung auf Ihrem Gerät ab. Haben Sie eingewilligt, werden je Seitenaufruf erfasst:

Ihre IP-Adresse wird nicht gespeichert. Sie wird ausschließlich flüchtig verwendet, um daraus zusammen mit dem Browserkennzeichen (User-Agent), der Domain und einem geheimen, regelmäßig wechselnden Zusatzwert (Salt) eine nicht umkehrbare Prüfsumme zu bilden. Aus dieser Prüfsumme ergeben sich zwei pseudonyme Kennungen: eine Besuchskennung, deren Zusatzwert stündlich wechselt, und eine Besucherkennung, deren Zusatzwert zu Beginn jedes Kalendermonats wechselt. Innerhalb eines Kalendermonats können Aufrufe desselben Geräts daher demselben Pseudonym zugeordnet werden; mit dem Wechsel des Zusatzwerts entfällt diese Zuordnung. Es handelt sich um pseudonyme Daten im Sinne des Art. 4 Nr. 5 DSGVO. Einen Personenbezug stellen wir weder her noch streben wir ihn an, und wir führen diese Daten nicht mit anderen Datenbeständen zusammen.

Zweck der Verarbeitung ist es, zu verstehen, welche Seiten gelesen werden, und diese Website bedarfsgerecht zu gestalten. Die Messung unterbleibt außerdem vollständig, wenn Sie das Laden des Skripts unterbinden, etwa mit einem Inhaltsblocker, oder wenn Ihr Browser keinen lokalen Speicher zulässt. Die Auswertungen werden nach 12 Monaten gelöscht.

Einzelheiten der Verarbeitung hängen von der eingesetzten Programmversion ab; die vorstehende Beschreibung bezieht sich auf die von uns betriebene Version 2.16.

4.1 Verwaltungsoberfläche der Cloud

Dieselbe selbst betriebene Umami-Instanz messen wir auch in der Verwaltungsoberfläche unseres Cloud-Angebots (app.klardo-ident.com), um zu erkennen, welche Ansichten tatsächlich genutzt werden. Auch dort läuft die Messung nur nach Einwilligung, die Sie in der Oberfläche erteilen und jederzeit widerrufen können. Es gelten die Angaben oben unverändert, mit einer Ergänzung, die uns wichtig ist: Übermittelt wird nicht die aufgerufene Adresse, sondern nur das Adressmuster der Ansicht, etwa /users/:id statt der Adresse eines konkreten Datensatzes. Weder der Name Ihres Mandanten noch die Kennung eines Datensatzes verlässt dabei die Oberfläche. Die Referrer-Adresse kürzen wir auf ihren Ursprung, damit Angaben aus dem Anmeldevorgang nicht mitgemessen werden.

In einer selbst betriebenen Installation unserer Software findet diese Messung nicht statt: die Verwaltungsoberfläche lädt dort kein Messskript und nimmt keine Verbindung zu uns auf.

5. Kontaktaufnahme

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage auf einen Vertrag gerichtet ist, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Daten, sobald die Anfrage abschließend bearbeitet ist und weder gesetzliche Aufbewahrungspflichten noch berechtigte Gründe für eine längere Aufbewahrung, etwa die Abwehr von Ansprüchen, entgegenstehen. Anfragen ohne Vertragsbezug löschen wir spätestens sechs Monate nach der letzten Korrespondenz.

6. Vertragsanbahnung, Vertragsabwicklung und Nutzungsdaten

6.1 Bestands-, Vertrags- und Abrechnungsdaten

Sind Sie unser Kunde oder Interessent, verarbeiten wir Ihre Bestands- und Kontaktdaten, insbesondere Name, Unternehmen, Anschrift, E-Mail-Adresse, Telefonnummer sowie Vertrags- und Abrechnungsdaten, zur Anbahnung, Durchführung und Abrechnung des Vertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Aufbewahrung von Rechnungsunterlagen tritt Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungsfristen hinzu (§ 257 HGB, § 147 AO); diese Unterlagen bewahren wir für die gesetzliche Dauer von bis zu zehn Jahren auf.

6.2 Lizenz- und Abrechnungskennzahlen aus Ihrer Installation

Für die Abrechnung nutzungsabhängiger Entgelte, für die Prüfung der lizenzkonformen Nutzung und für den Betrieb übermittelt Ihre Installation in regelmäßigen Abständen einen Statusbericht an uns. Er enthält:

Es handelt sich um Zähl-, Status- und Systemwerte. Namen, Kennungen oder Inhalte von Nutzerkonten werden nicht übertragen, ebenso wenig Adressen oder Anfrageinhalte. Die Installationskennung und die Prüfsumme des Rechnernamens beziehen sich auf Ihr System, nicht auf eine Person; sie ermöglichen es uns, aufeinanderfolgende Berichte derselben Installation zuzuordnen. Betreiben Sie die Installation als Einzelunternehmen oder als natürliche Person, können sie personenbezogen sein.

Für die Nutzungskennzahlen verwenden unsere Allgemeinen Geschäftsbedingungen dieselben Begriffe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an einer korrekten Abrechnung, an der Durchsetzung der Lizenzbedingungen und an der Fehleranalyse und Weiterentwicklung des Dienstes. Die Berichte bewahren wir auf, solange sie für die Abrechnung, die Lizenzprüfung und die Fehleranalyse erforderlich sind, längstens für die Dauer des Vertragsverhältnisses zuzüglich der gesetzlichen Aufbewahrungsfristen für die daraus erstellten Abrechnungen.

6.3 Auftragsverarbeitung im Cloud-Betrieb

Betreiben wir Ihren Mandanten in unserer Cloud, verarbeiten wir die Daten Ihrer Nutzerinnen und Nutzer ausschließlich in Ihrem Auftrag und nach Ihren Weisungen. Verantwortlicher im Sinne der DSGVO sind dann Sie; die Einzelheiten regelt der zwischen uns geschlossene Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

6.4 Sicherungskopien im Cloud-Betrieb

Zur Wiederherstellbarkeit im Störungsfall sichern wir die Datenbank stündlich. Die Sicherung wird vor der Übertragung auf unseren Systemen verschlüsselt und in einem Rechenzentrum an einem anderen Standort in Deutschland (Falkenstein) abgelegt; den Schlüssel halten wir selbst, der Speicheranbieter kann die Sicherung nicht lesen. Vorgehalten werden die Sicherungen gestaffelt: die stündlichen 48 Stunden, die täglichen 30 Tage, die monatlichen 12 Monate und die jährlichen 10 Jahre. Die Jahresstufe besteht wegen der handels- und steuerrechtlichen Aufbewahrungsfristen für die Abrechnungsdaten (§ 257 HGB, § 147 AO); sie umfasst technisch denselben Gesamtabzug und damit auch die Mandantendaten. Gelöschte Daten sind daher in den laufenden Stufen noch bis zu 12 Monate und in einer Jahressicherung bis zu 10 Jahre enthalten und werden mit deren Ablauf endgültig überschrieben. Bestehende Sicherungen verändern wir nicht; ein Löschverlangen setzen wir unverzüglich im Wirkbetrieb um, in den Sicherungen wirkt es mit dem Ablauf der jeweiligen Aufbewahrungsstufe. Für diese Zeit sind die betroffenen Daten in den Sicherungen gesperrt und werden ausschließlich zur Wiederherstellung verwendet.

7. Empfänger und Auftragsverarbeiter

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet; die Server stehen in Nürnberg, Deutschland. Der Anbieter verarbeitet die oben genannten Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO.

Unsere E-Mail-Postfächer und den E-Mail-Versand betreibt die STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Deutschland, in unserem Auftrag; die Server stehen in Deutschland. Schreiben Sie uns, wird Ihre Nachricht dort verarbeitet und gespeichert.

Beide Auftragsverarbeiter verarbeiten die Daten in Deutschland. Eine Übermittlung personenbezogener Daten in ein Drittland außerhalb der EU und des EWR findet derzeit nicht statt. Wir setzen insbesondere keinen Zahlungsdienstleister, keinen Versanddienst und keinen Analysedienst mit Sitz oder Verarbeitung in einem Drittland ein. Nehmen wir einen weiteren Empfänger hinzu oder wird eine Drittlandübermittlung erforderlich, aktualisieren wir diese Erklärung vor dem Beginn der Verarbeitung und benennen den Empfänger, das Land und die Garantien nach Art. 44 ff. DSGVO an dieser Stelle.

8. Ihre Rechte

Sie haben uns gegenüber das Recht auf

Haben Sie in eine Verarbeitung eingewilligt, können Sie die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Wenden Sie sich zur Ausübung Ihrer Rechte an die unter Ziffer 1 genannte Adresse. Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO); zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

9. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Verarbeitung der Server-Logfiles ist technisch notwendig, um die Website auszuliefern. Ohne sie ist ein Aufruf nicht möglich. Im Rahmen einer Geschäftsbeziehung sind die zur Vertragsdurchführung und zur Erfüllung steuer- und handelsrechtlicher Pflichten erforderlichen Angaben bereitzustellen; ohne sie können wir den Vertrag nicht schließen oder durchführen. Alle übrigen Angaben stellen Sie freiwillig bereit.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

10. Stand

Diese Erklärung hat den Stand 25. August 2026.