Rechtliches

Datenschutz

Diese Hinweise betreffen die TARS-Projektseiten und den aktuellen Mimic-Piloten für Anmeldung und Kontoeinstellungen.

1. Verantwortlicher und Kontakt

Für Datenschutzanliegen und die Ausübung Ihrer Rechte wenden Sie sich bitte an diesen Kontakt.

2. Geltungsbereich und aktueller Pilot

Diese Hinweise gelten für project-tars.de, die darauf weiterleitenden Projekt-Domains, mimic.something-with-tech-stuff.net und den zugehörigen Keycloak-Anmeldedienst unter auth.something-with-tech-stuff.net. Bei something-with-tech-stuff.net betreffen sie nur die Weiterleitung der Startseite: Sie gelten nicht pauschal für andere Anwendungen oder Unterseiten dieser Domain.

Der Pilot hat keine offene Registrierung. Der eingerichtete Testzugang dient ausschließlich dem Test von Anmeldung und Einstellungen; eine allgemeine Einladung, E-Mail-Verifikation oder Passwort-Zurücksetzung per E-Mail wird derzeit nicht angeboten. Die Kontooberfläche aktiviert weder Mikrofon noch Kamera. Es findet in diesem Piloten keine Verarbeitung von Gesprächsinhalten, Audioaufnahmen oder Transkripten statt; Chat, Sprachdialog, Modellanbieter und die Verbindung zu privaten Gerätesitzungen sind nicht aktiviert.

3. Websiteaufruf, Hosting und Sicherheit

Bei einem Aufruf werden technisch notwendige Verbindungsdaten verarbeitet: insbesondere IP-Adresse, Zeitpunkt, angefragte Adresse, HTTP-Methode und Status sowie vom Browser übermittelte technische Angaben. Das dient der Auslieferung der Seiten, verschlüsselten Verbindungen, Fehlerbehebung und Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und funktionsfähiger Betrieb.

Die Projektseiten und der Konto-/Anmeldedienst werden auf einem VPS bei Contabo betrieben. STRATO stellt die Domain-/DNS-Infrastruktur und das Hosting der weiterleitenden SWTS-Startseite bereit. Diese Infrastrukturbetreiber können die für ihre jeweilige Leistung notwendigen Verbindungs- und Betriebsdaten verarbeiten. Die Kontodatenbanken liegen im selbst betriebenen PostgreSQL-/Keycloak-System, nicht in einem externen Social-Login-Dienst. Zugriff haben der Betreiber und technisch erforderliche Hostingdienstleister; eine Weitergabe zu Werbezwecken erfolgt durch diese Anwendung nicht.

Für die Projekt-VPS-Routen ist kein reguläres HTTP-Zugriffsprotokoll aktiviert; auch BFF und Keycloak schreiben keine allgemeinen HTTP-Access-Logs. Fehler- und Betriebsprotokolle können dennoch technische Daten enthalten. Die Containerprotokolle werden größenabhängig rotiert: Caddy maximal eine Datei mit 1 MB, Datenbank, Keycloak und BFF jeweils bis zu drei Dateien mit je 5 MB. Das ist keine feste Löschfrist in Tagen; bei wenig Aktivität können Einträge länger erhalten bleiben. Für administrative Änderungen der Mitgliedschaften speichert die Anwendung Akteurkennung, Aktion, Ziel, Ergebnis und Zeitpunkt in der Datenbank. Eine automatische zeitbasierte Löschung dieser Auditdaten ist im Testbetrieb noch nicht eingerichtet.

4. Anmeldung und Einstellungen

Keycloak verarbeitet Anmeldename, Zugangsdaten beziehungsweise deren geschützte Prüfwerte, Kontokennung und gegebenenfalls im Konto hinterlegte Profilfelder wie E-Mail-Adresse und Name. Das aktuelle Testkonto enthält synthetische Profildaten. Die Mimic-Anwendung speichert die Zuordnung zur Keycloak-Kennung, Benutzer-ID, Mitgliedschaft, Rolle und Status, Ihre Einstellungen mit Versionsstand sowie technische Anmeldedaten (Sitzungskennungen als Hash, CSRF-Werte, Gültigkeitszeiten und verschlüsseltes Tokenmaterial). Das Passwort wird nicht an die Mimic-Oberfläche weitergereicht.

Die Verarbeitung dient dem von Ihnen angeforderten Zugang, der Zuordnung der Einstellungen zu Ihrem Konto und dem Schutz vor fremdem Zugriff. Für die angeforderte Kontonutzung beziehungsweise deren Anbahnung ist Art. 6 Abs. 1 lit. b DSGVO maßgeblich; für Sicherheitsprüfungen und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO mit dem berechtigten Interesse, Konten und Dienst zu schützen. Die Nutzung ist freiwillig und nicht gesetzlich vorgeschrieben. Ohne die notwendigen Anmelde- und Zuordnungsdaten ist ein Kontozugang nicht möglich; die öffentlichen Projektseiten bleiben ohne Konto lesbar.

5. Technisch notwendige Cookies

Die statischen Projektseiten setzen selbst keine Cookies und verwenden keinen lokalen Browserspeicher. Bei der Anmeldung verwendet Mimic ausschließlich notwendige Cookies: __Host-mimic_login und __Host-mimic_flow für den gegen Fremdanfragen geschützten Anmeldeablauf (jeweils höchstens 5 Minuten), __Host-mimic_session für die angemeldete Sitzung (höchstens 7 Tage). Diese Cookies sind Secure, HttpOnly, SameSite=Lax und auf den jeweiligen Host begrenzt. Serverseitig wird die Mimic-Sitzung außerdem nach 24 Stunden Inaktivität ungültig; eine frühere Sperrung oder ein Ablauf beim Anmeldedienst kann den Zugang vorher beenden.

Keycloak setzt auf dem separaten Auth-Host eigene notwendige Cookies zur Zuordnung des Anmeldevorgangs, zum Schutz der Anmeldung und für die zentrale Sitzung. Die zentrale Sitzung ist derzeit auf 30 Minuten Inaktivität und höchstens 10 Stunden begrenzt; „Angemeldet bleiben“ ist deaktiviert. Diese Gültigkeitsgrenzen sind keine Zusage, dass sämtliche serverseitigen Datensätze oder jedes Hilfscookie zu diesem Zeitpunkt gelöscht sind. Die lokale Abmeldung löscht das Mimic-Sitzungscookie und entwertet die Mimic-Sitzung samt dortigem Tokenmaterial; eine zentrale Keycloak-Sitzung kann weiter bestehen.

Der Zugriff auf diese technisch notwendigen Cookies erfolgt nach § 25 Abs. 2 Nr. 2 TDDDG zur Bereitstellung des ausdrücklich gewünschten Anmeldedienstes. Die anschließende Verarbeitung personenbezogener Daten richtet sich nach den oben genannten DSGVO-Rechtsgrundlagen. Es werden in diesen Seiten und im Konto-Piloten keine Analyse- oder Werbetracker, externen Schriftarten, eingebetteten Social-Media-Schaltflächen oder Social-Login-Anbieter eingesetzt. Ein Einwilligungsbanner für solche nicht eingesetzten Dienste wird daher nicht angezeigt.

6. Speicherdauer und Sicherungen

Kontozuordnung und Einstellungen bleiben im Pilotdatenbestand erhalten, bis das Testkonto administrativ gelöscht oder der Pilotdatenbestand aufgehoben wird. Es gibt noch keine automatische Kontolöschung oder Löschfunktion in der Oberfläche. Sie können eine Löschung über den oben genannten Kontakt verlangen. Abgelaufene Anmeldevorgänge werden beim nächsten Login bereinigt; erfolgreich verwendete Vorgänge werden beim Rücksprung gelöscht. Ungültige oder gesperrte Sitzungszeilen werden nicht schon durch den Ablauf ihrer Zugangsberechtigung automatisch aus der Datenbank entfernt.

Für die beiden Pilotdatenbanken besteht eine manuell erstellte verschlüsselte Sicherung auf einem lokalen externen Datenträger des Betreibers. Sie enthält auch Konten, Einstellungen und technische Sitzungsdaten. Eine regelmäßige automatische Sicherung und eine zeitbasierte Löschung der Sicherungen sind derzeit nicht eingerichtet; die erste Wiederherstellungsbasis wird aktuell ohne festgelegtes Enddatum aufbewahrt. Eine Löschung im laufenden System entfernt Daten daher nicht automatisch aus dieser Sicherung. Auch Sicherungsbestände sind bei einem Löschanliegen zu berücksichtigen. Vor Aufnahme weiterer realer Nutzer muss die Aufbewahrung einschließlich Audit-/Sitzungsresten und Sicherungen begrenzt und der Löschablauf eingerichtet werden.

7. Kontaktaufnahme und externe Links

Wenn Sie uns kontaktieren, verarbeiten wir Ihre mitgeteilten Kontaktdaten, den Inhalt und die zur Bearbeitung notwendigen Kommunikationsdaten. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei einer Anfrage zur Nutzung des Angebots, ansonsten Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse, Ihr Anliegen zu beantworten. Maßgeblich für die Dauer ist die Bearbeitung und Erledigung Ihres Anliegens; soweit gesetzliche Aufbewahrungspflichten oder konkrete Rechtsansprüche eine längere Aufbewahrung erfordern, werden die davon betroffenen Daten nur dafür weiter aufbewahrt.

Externe Informationslinks sind normale Links, keine eingebetteten Dienste. Erst beim Öffnen eines Links erhält dessen Anbieter die dabei technisch notwendigen Verbindungsdaten; dort gelten dessen eigene Datenschutzhinweise.

8. Dienstleister und internationale Verarbeitung

Informationen der Infrastrukturbetreiber finden Sie bei Contabo und STRATO. Diese allgemeinen Anbieterhinweise ersetzen nicht die Angaben für diesen Piloten. Es werden durch die Pilotanwendung keine Daten an KI-, Sprach- oder Social-Login-Anbieter übermittelt. Eine pauschale Zusicherung, dass bei den beteiligten Infrastrukturunternehmen sämtliche Verarbeitung und jeder Supportzugriff ausschließlich im EWR stattfinden, wird hier nicht gegeben. Die konkreten Standort-, Unterauftragnehmer- und gegebenenfalls Drittlandgarantien des gebuchten Hostings sind noch nicht abschließend dokumentiert; Auskunft zum aktuellen Nachweisstand erhalten Sie beim Verantwortlichen.

9. Ihre Rechte

Unter den gesetzlichen Voraussetzungen haben Sie nach Art. 15–20 DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen; die vorherige Verarbeitung bleibt davon unberührt.

Widerspruch: Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie nach Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Nutzen Sie dafür den oben genannten Kontakt.

Sie können sich außerdem nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für den Standort Hamburg: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit – Beschwerde einreichen. Eine vorherige Kontaktaufnahme mit uns ist dafür keine Voraussetzung.

In diesem Konto-/Einstellungspiloten findet keine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO und kein Profiling statt. Technische Zugangsprüfungen setzen lediglich die administrativ vergebenen Berechtigungen um.