Datenschutz­erklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) ist:

Miguel Bahn
Hochofenstraße 20
58135 Hagen, Deutschland
E-Mail: foto@miguel-bahn.de

2. Datenschutzbeauftragter

Die Bestellung eines betrieblichen Datenschutzbeauftragten ist gemäß Art. 37 DSGVO i. V. m. § 38 BDSG nicht erforderlich, da keine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten stattfindet und die gesetzlichen Schwellenwerte nicht erreicht werden. Es wurde kein Datenschutzbeauftragter bestellt.

Bei datenschutzrechtlichen Anfragen wenden Sie sich direkt an den Verantwortlichen (siehe Abschnitt 1).

3. Hosting & Infrastruktur

Alle Dienste werden auf einem selbst betriebenen Server (Synology NAS) im privaten Haushalt des Verantwortlichen gehostet. Der Server befindet sich physisch in Deutschland. Es handelt sich ausnahmslos um selbst verwaltete (self-hosted) Installationen; es werden keine Cloud-Dienste Dritter für die Speicherung oder Verarbeitung von Inhalten genutzt.

Der gesamte eingehende Datenverkehr wird über das Cloudflare-Netzwerk geleitet (siehe Abschnitt 4). Auf dem Ursprungsserver werden keine persistenten Zugriffs-Logfiles mit personenbezogenen Daten gespeichert — insbesondere werden keine IP-Adressen der Besucher dauerhaft aufgezeichnet, sofern nachfolgend nicht dienstspezifisch abweichend beschrieben.

4. Cloudflare (CDN, Reverse Proxy, DDoS-Schutz & TURN-Relay)

Alle Dienste nutzen Cloudflare als vorgelagerten Reverse-Proxy und Content Delivery Network. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Für Nutzer im Europäischen Wirtschaftsraum (EWR) ist vertraglich die Cloudflare Ireland Limited, 3 Shelbourne Buildings, Ballsbridge, Dublin 4, D04 C7X3, Irland, als Auftragsverarbeiter tätig.

4.1 HTTP-Datenverkehr (alle Dienste)

Sämtlicher HTTP/HTTPS-Datenverkehr wird über das Cloudflare-Netzwerk geleitet. Cloudflare verarbeitet dabei insbesondere:

• IP-Adresse des Besuchers
• HTTP-Anfrage-Header (Browser-Typ, Sprache, Referrer)
• Datum, Uhrzeit und aufgerufene URL
• Übertragene Datenmenge und HTTP-Statuscode

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im Schutz der Dienste vor Angriffen (DDoS, Bot-Abwehr) sowie in der Sicherstellung einer stabilen und sicheren Erreichbarkeit.

4.2 TURN-Relay (Videokonferenzdienst Galene)

4.3 Drittlandtransfer & Vertragsgrundlage

Cloudflare kann Daten auf Servern in der EU und in den USA verarbeiten. Die Datenübermittlung in die USA stützt sich auf Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Cloudflare ist zudem dem EU-US Data Privacy Framework (DPF) beigetreten (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023). Ein Auftragsverarbeitungsvertrag (AVV/DPA) gemäß Art. 28 DSGVO ist abgeschlossen.

Weitere Informationen: Cloudflare Datenschutzrichtlinie

5. Cookies & lokale Speicherung

Alle Dienste setzen keine Tracking-, Analyse- oder Marketing-Cookies ein. Es werden keine Nutzerprofile erstellt und kein Nutzerverhalten aufgezeichnet oder an Dritte übermittelt, sofern nachfolgend nicht dienstspezifisch abweichend beschrieben.

Einzelne Dienste können den localStorage des Browsers für rein funktionale Einstellungen nutzen (z. B. zuletzt verwendeter Anzeigename im Videokonferenzdienst, Darstellungsoptionen im 3D-Viewer). Diese Daten verbleiben ausschließlich lokal in Ihrem Browser und werden nicht an den Server übertragen.

Cloudflare kann technisch notwendige Cookies setzen, darunter:

• __cf_bm — Bot-Abwehr, Lebensdauer: 30 Minuten
• cf_clearance — Sicherheitsprüfung (nur bei Bedarf), Lebensdauer: variabel

Der Authentifizierungsdienst authentik setzt nach erfolgreichem Login ein technisch notwendiges Sitzungs-Cookie zur Aufrechterhaltung der authentifizierten Sitzung. Dieses Cookie enthält ausschließlich einen zufälligen Sitzungstoken und keine personenbezogenen Daten im Klartext. Es gilt für die Dauer der Sitzung bzw. bis zum Ablauf des konfigurierten Zeitlimits.

Die genannten Cookies sind technisch erforderlich und bedürfen keiner Einwilligung gemäß § 25 Abs. 2 Nr. 2 TDDDG (in Kraft seit 14. Mai 2024).

6. Schriftarten

Alle verwendeten Schriftarten werden ausschließlich vom eigenen Server ausgeliefert. Es werden keine Verbindungen zu externen Schriftarten-Servern (insbesondere Google Fonts oder Adobe Fonts) aufgebaut; beim Laden einer Seite findet kein automatischer Datentransfer an Dritte statt.

7. Kontaktaufnahme

Wenn Sie per E-Mail Kontakt aufnehmen, werden die übermittelten Daten (Name, E-Mail-Adresse, Nachrichteninhalt) ausschließlich zur Bearbeitung Ihrer Anfrage verarbeitet und gespeichert. Eine Weitergabe an Dritte findet nicht statt, sofern keine gesetzliche Pflicht zur Weitergabe besteht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung bzw. Bearbeitung Ihrer Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Daten werden gelöscht, sobald Ihre Anfrage abschließend bearbeitet wurde, in der Regel spätestens nach 6 Monaten. Bei gesetzlichen Aufbewahrungspflichten (z. B. steuerrechtlich relevante Kommunikation gemäß § 147 AO) gelten die gesetzlichen Fristen von bis zu 10 Jahren vorrangig.

7.1 Kontaktformular (rein client­seitige Verarbeitung)

Auf der Kontaktseite steht ein Web­formular zur Verfügung, über das Sie Name, E-Mail-Adresse, Betreff und Nachrichteninhalt eingeben können. Dieses Formular überträgt die eingegebenen Daten zu keinem Zeitpunkt an den Server des Verantwortlichen. Die gesamte Verarbeitung erfolgt ausschließlich lokal in Ihrem Browser (client­seitig): Nach dem Klick auf „Senden" werden die Daten im Browser zu einem mailto:-Link zusammengesetzt; anschließend öffnet sich Ihr lokal installiertes E-Mail-Programm mit der voraus­gefüllten Nachricht, die Sie selbst und bewusst absenden.

Verarbeitete Daten (lokal im Browser): Name, E-Mail-Adresse, Betreff und Nachrichteninhalt — ausschließlich zur lokalen Zusammensetzung des mailto:-Links. Diese Daten verlassen Ihr Endgerät nur, wenn Sie die vorbereitete E-Mail in Ihrem E-Mail-Programm tatsächlich absenden.

Nach dem Absenden aus Ihrem E-Mail-Programm gelten einerseits die Datenschutzbestimmungen Ihres E-Mail-Anbieters für den Versand, andererseits die Regelungen in Abschnitt 7 dieser Erklärung für die Bearbeitung der bei uns eingehenden E-Mail.

Rechtsgrundlage: Da das Formular selbst keine Daten an den Verantwortlichen überträgt, entsteht eine Verarbeitung durch den Verantwortlichen erst mit dem Eingang der E-Mail. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. b DSGVO (Vertrags­anbahnung bzw. Bearbeitung Ihrer Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Identisch mit der allgemeinen E-Mail-Kommunikation (s. o.): Löschung nach abschließender Bearbeitung, in der Regel spätestens nach 6 Monaten; bei gesetzlichen Aufbewahrungs­pflichten bis zu 10 Jahre gemäß § 147 AO.

8. Externe Links

Die Angebote enthalten Links zu externen Diensten. Eine Datenübertragung an diese Dienste erfolgt ausschließlich beim aktiven Anklicken eines Links — nicht automatisch beim Laden der Seite. Für die Datenverarbeitung durch diese Drittanbieter nach dem Anklicken ist der jeweilige Anbieter allein verantwortlich.

• Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland) — Datenschutzerklärung
• Pictrs (Pictrs GmbH, Brandvorwerkstr. 52-54 04275 Leipzig) — Datenschutzerklärung
• WhatsApp (WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland) — Datenschutzerklärung
  Wenn Sie über den WhatsApp-Link Kontakt aufnehmen, werden Ihre Nachrichten über die Server von WhatsApp Ireland Limited übermittelt. WhatsApp kann dabei Metadaten (z. B. Zeitstempel, Geräteinformationen) verarbeiten. Die im Rahmen der Kommunikation übermittelten Daten (Nachrichteninhalt, ggf. Name) werden ausschließlich zur Bearbeitung Ihrer Anfrage verwendet und nicht ohne Ihre Einwilligung an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung bzw. Bearbeitung Ihrer Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: Die Daten werden gelöscht, sobald Ihre Anfrage abschließend bearbeitet wurde, in der Regel spätestens nach 6 Monaten.
• Linktree (Linktree Pty Ltd., Level 2, 11 York Street, Sydney NSW 2000, Australien) — Datenschutzerklärung
  Hinweis Drittlandtransfer: Australien verfügt über keinen EU-Angemessenheitsbeschluss der Europäischen Kommission. Beim Anklicken dieses Links werden Daten in ein Drittland ohne gleichwertiges Datenschutzniveau übermittelt. Rechtsgrundlage ist Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung durch informierten, aktiven Klick). Art. 49 DSGVO stellt eine Ausnahmevorschrift für Einzelfälle dar; durch den aktiven Klick erklären Sie sich mit der Übermittlung einverstanden. Dieser Hinweis befindet sich zudem unmittelbar am entsprechenden Link auf der verlinkenden Seite, um eine informierte Entscheidung vor dem Klick zu ermöglichen.

9. Videokonferenzdienst (Galene)

Zur Durchführung von Videokonferenzen wird die Open-Source-Software Galene eingesetzt — ein selbst gehosteter Videokonferenzserver mit der Architektur einer Selective Forwarding Unit (SFU), der vollständig auf dem eigenen Server des Verantwortlichen betrieben wird. Bei einem SFU laufen alle Medienströme (Audio, Video) über den Server; es handelt sich nicht um eine direkte Peer-to-Peer-Verbindung zwischen den Teilnehmern. Es werden keine Daten an den Hersteller von Galene oder an sonstige Drittanbieter übermittelt, mit Ausnahme von Cloudflare als Auftragsverarbeiter (siehe Abschnitte 4.1 und 4.2).

Bei der Nutzung des Videokonferenzdienstes werden folgende personenbezogene Daten verarbeitet:

• Audio- und Videodaten, sofern Kamera und/oder Mikrofon aktiviert sind
• Bildschirmfreigabe-Inhalte, sofern diese Funktion genutzt wird
• Textnachrichten (Chat), sofern die Chat-Funktion verwendet wird
• Anzeigename (vom Teilnehmer selbst festgelegt beim Betreten des Raums)
• IP-Adresse und technische Verbindungsparameter für den Aufbau der WebRTC-Verbindung
• Zeitstempel des Beitritts und Verlassens eines Konferenzraums (flüchtig, nicht dauerhaft gespeichert)

Zugangskontrolle: Konferenzräume sind durch ein Passwort oder einen individuellen Einladungslink geschützt. Eine Teilnahme ohne Kenntnis des Raumzugangs ist nicht möglich.

Zweck der Verarbeitung: Durchführung von Videokonferenzen im Rahmen der Geschäftsbeziehung oder auf Einladung des Verantwortlichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen), soweit die Konferenz im Rahmen eines Kunden- oder Auftragsverhältnisses stattfindet. In übrigen Fällen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Kommunikation ohne Abhängigkeit von Drittanbietern wie Zoom oder Microsoft Teams). Für optionale Aufzeichnungen gilt ausschließlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); siehe Hinweis zur Aufzeichnung oben.

10. WebRTC & TURN-Relay

Die Echtzeit-Übertragung von Audio und Video erfolgt über das Protokoll WebRTC (Web Real-Time Communication), einen offenen Standard, der in modernen Browsern integriert ist.

Die Übertragung ist zwischen Ihrem Browser und dem Galene-Server transportverschlüsselt mittels DTLS (Datagram Transport Layer Security) und SRTP (Secure Real-Time Transport Protocol). Da Galene als SFU betrieben wird, entschlüsselt der Server die eingehenden Medienströme technisch notwendigerweise, um sie an andere Sitzungsteilnehmer weiterzuleiten. Es handelt sich daher um eine streckenbezogene Transportverschlüsselung (Client ↔ Server), nicht um eine Ende-zu-Ende-Verschlüsselung zwischen den Teilnehmern. Da der Server ausschließlich auf eigener Hardware in Deutschland betrieben wird, verbleiben die entschlüsselten Mediendaten ausschließlich auf diesem.

Für den Verbindungsaufbau ermittelt Ihr Browser technische Verbindungsparameter (ICE-Candidates), die Ihre IP-Adresse umfassen können. Diese werden ausschließlich für den Verbindungsaufbau genutzt und nicht dauerhaft gespeichert.

TURN-Server über Cloudflare: In Netzwerksituationen, in denen eine direkte Verbindung zum Galene-Server technisch nicht möglich ist (z. B. hinter restriktiven Firewalls oder symmetrischem NAT), wird automatisch das TURN-Relay genutzt. Der TURN-Server läuft über die Cloudflare-Infrastruktur. In diesem Fall werden Ihre transportverschlüsselten Mediendaten (Audio/Video) über Cloudflare-Server weitergeleitet. Cloudflare fungiert hierbei ausschließlich als technischer Relay-Dienst; die DTLS/SRTP-Verschlüsselung bleibt vollständig erhalten, sodass Cloudflare keinen Zugriff auf den unverschlüsselten Medieninhalt hat. Eine Speicherung oder Auswertung der Mediendaten durch Cloudflare findet nicht statt. Zur Datenverarbeitung durch Cloudflare in diesem Kontext siehe Abschnitt 4.2.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (technische Notwendigkeit zur Erbringung des Dienstes).

11. 3D-Viewer (Gaussian Splat)

Für die Darstellung dreidimensionaler Modelle wird ein WebGL-basierter Viewer eingesetzt, der aus SuperSplat exportiert wurde. SuperSplat ist eine Open-Source-Software zur Bearbeitung und Darstellung von 3D-Gaussian-Splat-Szenen (supersplat.playcanvas.com).

Der Viewer-Export besteht aus statischen Dateien (HTML, JavaScript, Binärdaten der 3D-Szene), die vollständig vom eigenen Server ausgeliefert werden. Die gesamte Darstellung und Berechnung der 3D-Szene erfolgt ausschließlich lokal in Ihrem Browser mittels WebGL; es werden keine 3D-Daten oder Nutzereingaben (z. B. Kameraposition, Navigationsinteraktionen) an externe Server übertragen.

Beim Laden der Viewer-Seite gelten die allgemeinen Angaben zu Cloudflare (Abschnitt 4.1) und Cookies (Abschnitt 5).

Rechtsgrundlage für die Auslieferung der Seite: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Präsentation von Arbeitsergebnissen).

12. Orthofoto-Viewer (Cloud Optimized GeoTIFF)

Für die Darstellung von Orthofotografien wird ein Viewer verwendet, der auf dem Standard Cloud Optimized GeoTIFF (COG) basiert. COG ist ein offenes Dateiformat, das eine effiziente, auflösungsabhängige Auslieferung von Geodaten über HTTP Range Requests ermöglicht.

Die COG-Dateien werden vollständig vom eigenen Server ausgeliefert. Es werden keine externen Kartenkacheln (Tile-Server) eingebunden — weder von OpenStreetMap, Mapbox noch von anderen Drittanbietern. Die Darstellung erfolgt ohne Verbindung zu externen Geodatendiensten.

Beim Laden der Viewer-Seite gelten die allgemeinen Angaben zu Cloudflare (Abschnitt 4.1) und Cookies (Abschnitt 5).

Rechtsgrundlage für die Auslieferung der Seite: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Präsentation von Arbeitsergebnissen und geodätischen Daten).

13. Authentifizierung (authentik)

Zum Schutz selbst gehosteter Dienste wird die Open-Source-Software authentik (goauthentik.io) als Identity Provider (IdP) und Single-Sign-On-Lösung (SSO) eingesetzt. authentik wird vollständig auf dem eigenen Server des Verantwortlichen betrieben; es werden keine Daten an den Hersteller von authentik oder an Dritte übermittelt.

Beim Authentifizierungsvorgang werden folgende personenbezogene Daten verarbeitet:

• Benutzername oder E-Mail-Adresse zur Identifikation
• Passwort — ausschließlich als nicht umkehrbarer kryptografischer Einweg-Hash (PBKDF2 oder Argon2, je nach Konfiguration) gespeichert; das Klartextpasswort wird zu keinem Zeitpunkt gespeichert
• Sitzungstoken (zufällig generiert, kein Personenbezug im Klartext) zur Aufrechterhaltung der angemeldeten Sitzung
• IP-Adresse und Zeitstempel von Anmeldeversuchen, gespeichert für Sicherheitszwecke (Erkennung von Brute-Force-Angriffen)
• Fehlgeschlagene Anmeldeversuche zum Schutz vor unbefugtem Zugriff

Zweck der Verarbeitung: Zugangskontrolle und Absicherung selbst gehosteter Dienste vor unbefugtem Zugriff.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherung eigener Systeme und Dienste vor unberechtigtem Zugriff).

Speicherdauer: Sitzungstokens werden bei Abmeldung oder nach Ablauf des konfigurierten Zeitlimits automatisch ungültig. Anmelde-Logs (IP-Adresse, Zeitstempel) werden nach spätestens 90 Tagen gelöscht.

14. URL-Kürzung & Zugriffsstatistiken (Kutt)

Für die Erstellung von Kurz-URLs wird die Open-Source-Software Kutt (kutt.it) eingesetzt, die vollständig auf dem eigenen Server des Verantwortlichen betrieben wird. Kutt erhebt beim Aufruf einer Kurz-URL automatisch Zugriffsstatistiken.

Beim Aufruf einer Kurz-URL werden folgende Daten verarbeitet und gespeichert:

• IP-Adresse — wird transient zur Geolokalisierung (Ableitung des Landes) verarbeitet und nicht im Klartext gespeichert; ein nicht umkehrbarer Hash aus IP-Adresse und User-Agent wird zur Erkennung eindeutiger Klicks gespeichert
• Land (aus IP-Adresse abgeleitet, gespeichert)
• Browser (aus dem User-Agent-Header abgeleitet, gespeichert)
• Betriebssystem (aus dem User-Agent-Header abgeleitet, gespeichert)
• Referrer (die verweisende URL, sofern vom Browser übermittelt, gespeichert)
• Klickzeitpunkt (Datum und Uhrzeit des Abrufs)

Zweck der Verarbeitung: Auswertung der Reichweite und Nutzung geteilter Links zur Optimierung der Kundenkommunikation (z. B. Feststellung, ob ein Link angeklickt wurde).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung der Effektivität geteilter Inhalte und Links). Die Interessenabwägung ergibt, dass das berechtigte Interesse des Verantwortlichen überwiegt, da (1) keine individuelle Profilbildung über mehrere Sitzungen oder Dienste hinweg erfolgt, (2) die IP-Adresse selbst nicht dauerhaft gespeichert wird und nur transient zur Geolokalisierung dient, (3) die gespeicherten Merkmale (Land, Browser, OS, Referrer) ausschließlich aggregiert zur Reichweiten- messung ausgewertet werden und (4) die Kurz-URLs ausschließlich im Rahmen bestehender Kunden- oder Auftragsverhältnisse eingesetzt werden, sodass die Betroffenen mit einer solchen Nutzungsauswertung vernünftigerweise rechnen können. Eine dokumentierte Interessenabwägung (Legitimate Interest Assessment) wird intern vorgehalten. Betroffene können jederzeit Widerspruch gemäß Art. 21 DSGVO einlegen (siehe Abschnitt 18).

Speicherdauer: Zugriffsstatistiken werden für die Dauer der Existenz der jeweiligen Kurz-URL gespeichert und nach deren Löschung entfernt. Eine manuelle Löschung ist auf Anfrage möglich.

15. Fotoauslieferung (Synology Photos)

Zur Auslieferung von Fotoproduktionen an Kunden wird Synology Photos eingesetzt, eine auf dem eigenen Synology NAS betriebene Fotoverwaltungssoftware. Die Auslieferung erfolgt ausschließlich über passwortgeschützte oder zeitlich begrenzte Share-Links; Kunden benötigen keinen eigenen Synology-Account.

Beim Aufruf eines Share-Links und beim Herunterladen von Dateien werden folgende Daten verarbeitet:

• IP-Adresse des Abrufenden — über Cloudflare verarbeitet (siehe Abschnitt 4.1), auf dem Ursprungsserver nicht dauerhaft gespeichert
• Zugriffszeitpunkt und abgerufene Dateien (Synology-interne Zugriffslogs, sofern aktiviert)

Hinweis zu Bild-Metadaten (EXIF): Die ausgelieferten Fotodateien können eingebettete Metadaten (EXIF-Daten) enthalten, darunter Aufnahmedatum, Kameramodell sowie gegebenenfalls GPS-Koordinaten des Aufnahmeorts. Diese Daten sind Bestandteil der Bilddatei und werden gemeinsam mit ihr übermittelt. Sofern GPS-Koordinaten enthalten sind, werden diese auf Wunsch des Auftraggebers oder nach eigenem Ermessen des Verantwortlichen vor der Bereitstellung entfernt.

Zweck der Verarbeitung: Bereitstellung fertiggestellter Fotoproduktionen im Rahmen der Vertragserfüllung gegenüber dem Auftraggeber.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person).

Speicherdauer: Share-Links werden nach Abschluss der Übergabe deaktiviert. Zugriffslogs auf dem NAS werden, sofern vorhanden, nach spätestens 30 Tagen gelöscht. Die Bilddateien selbst werden nach den vereinbarten oder gesetzlichen Aufbewahrungsfristen entfernt.

16. Speicherdauer (Übersicht)

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

• Audio-/Videodaten, Chat, Anzeigename (Galene): Standardmäßig ausschließlich für die Dauer der aktiven Sitzung im flüchtigen Arbeitsspeicher; sofortige, automatische Löschung nach Sitzungsende. Im Fall einer Aufzeichnung gelten die mit den Teilnehmern kommunizierten Speicherfristen; Aufzeichnungen werden nach Wegfall des Zwecks, spätestens jedoch nach 6 Monaten, gelöscht.
• WebRTC-Verbindungsparameter (ICE-Candidates, IP): Nur für die Dauer des Verbindungsaufbaus; nicht dauerhaft gespeichert.
• Verbindungsdaten (Cloudflare): Gemäß der Datenschutzrichtlinie von Cloudflare, in der Regel bis zu 24 Stunden für Sicherheitslogs. Maßgeblich ist die Datenschutzrichtlinie von Cloudflare.
• Anmelde-Logs (authentik): IP-Adresse und Zeitstempel von Anmeldeversuchen bis zu 90 Tagen; Sitzungstokens bis zur Abmeldung oder zum Ablauf des Zeitlimits.
• Zugriffsstatistiken (Kutt): Für die Dauer der Existenz der jeweiligen Kurz-URL; Löschung bei Deaktivierung oder auf Anfrage.
• Zugriffslogs Synology Photos: Bis zu 30 Tage; Share-Links werden nach Abschluss der Übergabe deaktiviert.
• E-Mail-Kommunikation & Kontaktanfragen: Bis zur abschließenden Bearbeitung, in der Regel spätestens nach 6 Monaten; bei gesetzlichen Aufbewahrungspflichten bis zu 10 Jahre gemäß § 147 AO.
• 3D-Viewer & Orthofoto-Viewer: Es werden serverseitig keine personenbezogenen Daten gespeichert. Es gelten ausschließlich die Cloudflare-Angaben oben.

17. Ihre Rechte als betroffene Person

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Ihrer personenbezogenen Daten zu:

Sie haben außerdem das Recht, eine erteilte Einwilligung zur Datenverarbeitung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: foto@miguel-bahn.de

18. Widerspruchsrecht (Art. 21 DSGVO)

19. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Alle Entscheidungen, die Sie als betroffene Person betreffen könnten, werden ausschließlich durch den Verantwortlichen getroffen.

20. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich jederzeit bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde für Nordrhein-Westfalen (Sitz des Verantwortlichen):

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: 0211 / 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: www.ldi.nrw.de