Datenschutz­erklärung

Freigabeentwurf

Diese Datenschutzerklärung bildet die geplante Portalarchitektur ab. Sie ist ein Entwurf zur dokumentierten Inhaberfreigabe und keine Rechtsberatung. Vor der Aktivierung ist eine fachliche Prüfung erforderlich.

1. Verantwortlicher

Marius Neumann
Bei der Ziegelhütte 40
88447 Warthausen
E-Mail: contact@mariusneumann.de

2. Website, Hosting und Kontakt

Die öffentliche Website und die Portaloberfläche werden über Vercel bereitgestellt. Dabei können technisch erforderliche Verbindungs- und Protokolldaten wie IP-Adresse, Zeitpunkt, URL, Statuscode, Browserinformationen und Referrer verarbeitet werden. Dies dient Auslieferung, Stabilität, Sicherheit und Fehleranalyse.

Bei einer Kontaktaufnahme per E-Mail werden Absenderadresse, Nachricht und freiwillige Angaben zur Bearbeitung der Anfrage verarbeitet. Auf den öffentlichen Inhaltsseiten werden keine Analyse-, Marketing- oder Tracking-Cookies eingesetzt.

3. Kundenportal und Authentifizierung

Das Kundenportal verwendet eingeladene Auth0-Konten. Verarbeitet werden Auth0-Kennung, E-Mail-Adresse, Anzeigename, Anmelde- und Sicherheitsinformationen sowie Kunden-, Rollen- und Projektzuordnungen. Ein Konto kann mehreren Kundenakten zugeordnet sein. Für Sitzungen werden ausschließlich technisch notwendige, zeitlich begrenzte Cookies eingesetzt.

Das frühere Link-und-PIN-Verfahren und Supabase-Transferräume werden nicht mehr verwendet. Bestehende Gastlinks werden deaktiviert. Für die gemeinsame Blog- und LinkedIn-Freigabe sind verschlüsselte LinkedIn-Zugangsdaten sowie Freigabe- und Veröffentlichungsstatus in der selbst betriebenen Portal-PostgreSQL-Datenbank vorgesehen. Der bisherige separate Marketingadmin wird abgelöst.

4. Portal-, Datei- und Kommunikationsdaten

Im Portal werden Kunden- und Projektstammdaten, Verträge, Dokumente, Finanzdaten, Mitgliedschaften, Nachrichten, Dateinamen, Dateigrößen, Dateiinhalte, Zugriffs- und Zustellstatus sowie Audit- und Prüffalldaten verarbeitet. Die fachlichen Daten liegen in einer nicht öffentlich erreichbaren PostgreSQL-Datenbank auf einem verschlüsselten Synology-Speicher. Der Zugriff erfolgt ausschließlich über die Portal-API.

Dateien werden zunächst in privaten Cloudflare-R2-Buckets in Quarantäne gespeichert und serverseitig auf Schadsoftware geprüft. Fehlende oder veraltete Prüfsignaturen, Scanfehler oder Ressourcenengpässe führen dazu, dass die Datei gesperrt bleibt. Normale Arbeitsdateien werden nicht in Paperless archiviert.

5. Dokumente und Nachweise

Finale Ausgangsdokumente, Eingangsbelege sowie rechtlich relevante Annahme-, Widerrufs-, Kündigungs-, Zustell- und Kommunikationsnachweise werden unveränderlich gespeichert und an das selbst betriebene Paperless-System auf der Synology übergeben. Zusätzlich werden private R2-Kopien und zugängliche HTML-Ansichten bereitgestellt. Inhaltshashes und Portal-, Kunden-, Projekt- und Dokumentkennungen dienen der Integritäts- und Zuordnungsprüfung.

6. E-Mail und Auftragsverarbeiter

Auth0 verarbeitet Authentifizierungs- und Sicherheitsdaten. Vercel stellt die Webanwendung bereit. Cloudflare stellt private R2-Speicher und das Upload-Gateway bereit. Resend wird für Portal-, Zustell- und Sicherheitsnachrichten eingesetzt. Synology/PostgreSQL und Paperless werden selbst betrieben. Je nach Anbieter können Übermittlungen außerhalb der EU stattfinden; erforderliche Schutzmaßnahmen und Vertragsunterlagen sind vor Aktivierung zu prüfen.

Fachliche Kundenmails können für alle aktiven Owner und Freigeber gemeinsam sichtbar adressiert werden. Antworten über eindeutige Portaladressen werden dem zugehörigen Verlauf zugeordnet; unzuordenbare E-Mails werden als Prüffall behandelt.

7. Aufbewahrung und Löschung

Finale und rechtlich relevante Dokumente werden aufgrund der festgelegten längeren Aufbewahrungspolitik zehn Jahre gespeichert. Abweichende gesetzliche Fristen, Zweckbindung, Legal Holds und Löschbegehren werden vor einer Löschung manuell geprüft.

Normale Projektdateien werden bis zum Projektende zuzüglich 90 Tagen gespeichert. Allgemeine Eingangstransfers werden 90 Tage nach der letzten Aktivität gelöscht. Hinweise erfolgen 14 und 3 Tage vorher; eine berechtigte Verlängerung ist möglich. Normale Kommentare werden drei Jahre nach Projektende gespeichert, rechtlich relevante Kommunikation wird als Paperless-Nachweis archiviert. Unzuordenbare Eingangsmails bleiben 180 Tage als Prüffall erhalten. Unvollständige Uploadsitzungen enden spätestens nach 24 Stunden.

Kunden können eigene noch unbearbeitete Uploads zurückziehen. Nach Beginn der Bearbeitung wird stattdessen eine Löschanfrage erfasst; archivpflichtige Nachweise bleiben unveränderlich.

8. Sicherungen und Ausfallstand

Die Portal-Datenbank wird täglich verschlüsselt in ein getrenntes R2-Konto gesichert. Ein täglicher verschlüsselter Nur-Lesen-Ausfallstand kann Portalstatus, Nachrichten, finale Dokumente und bereits geprüfte Projektdateien enthalten. Er ist höchstens 24 Stunden aktuell; Änderungen, Uploads und Annahmen sind dort gesperrt.

9. Rechte und Sicherheit

Im Rahmen der gesetzlichen Voraussetzungen bestehen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Eine automatisierte Entscheidung einschließlich Profiling findet nicht statt. Die Website und das Portal werden über HTTPS bereitgestellt.

10. Stand

Stand dieses Freigabeentwurfs: 29. August 2026. Änderungen an Architektur, Dienstleistern, Zwecken oder Aufbewahrung erfordern eine erneute fachliche Prüfung und dokumentierte Freigabe.