HABA · ALIDOS

Datenschutz

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten auf https://haba.alidos.de. Die Hauptseite alidos.de hat eine eigene Datenschutzerklärung. Stand dieser HABA-Fassung: 13. Oktober 2026.

1. Verantwortlicher

Telefon: +49 176 87921990
E-Mail: Ali.Celik@alidos.de

2. Hosting und Bereitstellung

HABA läuft auf einer virtuellen Maschine bei IONOS Cloud. Hosting-Anbieter ist IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland. Zur Bereitstellung und Absicherung des Dienstes werden technisch notwendige Verbindungsdaten verarbeitet, insbesondere die IP-Adresse, Zeitpunkt und Ziel der Verbindung sowie technische Anfragedaten. Die Übertragung erfolgt mit HTTPS/TLS.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb. IONOS kann im Rahmen des Hostingbetriebs Zugriff auf technische Daten und gespeicherte Daten erhalten. Informationen zu den Datenschutzregelungen und zur Auftragsverarbeitung: IONOS Cloud – Datenschutz und Datensicherheit.

3. Betreiber-Anmeldung und Sicherheit

Bei der Anmeldung werden Benutzername und Passwort zur Prüfung über eine verschlüsselte Verbindung an den eigenen HABA-Server übertragen. Das Passwort wird nicht im Klartext gespeichert: Gespeichert werden Benutzername, ein individueller Zufallswert (Salt) und ein scrypt-Passwort-Hash. Erfolgreiche Anmeldungen erzeugen eine signierte Sitzung mit einer Laufzeit von einer Stunde.

Zum Schutz vor automatisierten Anmeldeversuchen werden IP-Adressen und Zeitpunkte von Versuchen kurzzeitig im Arbeitsspeicher verarbeitet. Die Beschränkung berücksichtigt ein Zeitfenster von einer Minute; abgelaufene Einträge werden bei weiteren Anmeldeversuchen bereinigt und spätestens bei einem API-Neustart verworfen. Anmeldepasswörter und Sitzungscookies werden nicht in Anwendungslogs geschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, insbesondere der Schutz vor unberechtigtem Zugriff.

4. Cookies

HABA verwendet ausschließlich notwendige Cookies: „haba_session“ für die gewünschte Anmeldung (eine Stunde) und „haba_notice“ für die Bestätigung des Cookie-Hinweises (180 Tage). Es werden keine Analytics-, Werbe- oder Tracking-Cookies eingesetzt. Einzelheiten stehen unter Cookies & Datenschutz. Grundlage für notwendige Speicherung und Zugriff ist § 25 Abs. 2 Nr. 2 TDDDG; die damit verbundene Verarbeitung dient dem sicheren Betrieb und der Bedienbarkeit nach Art. 6 Abs. 1 lit. f DSGVO.

5. Aufträge, Ergebnisse und Protokolle

Der geschützte Betreiberbereich speichert Dienstleistung, Branche, Aufgabenbeschreibung, Prüfentscheidungen, Bearbeitungsstatus, Ergebnisse, technische Kennungen und Zeitpunkte in einer lokalen Datenbank. Die Start-/Stopp-Historie und Aktionen an Aufträgen werden ebenfalls gespeichert. Aufgabenbeschreibungen können personenbezogene Daten enthalten, wenn der Betreiber diese eingibt. Bitte keine Passwörter, API-Schlüssel, Wallet-Seeds oder sonstigen Secrets in Aufträge eintragen.

Die Verarbeitung ermöglicht die gewünschte Auftragsbearbeitung und deren Nachvollziehbarkeit. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO; soweit im Einzelfall eine vertragliche Leistung für eine betroffene Person erbracht wird, Art. 6 Abs. 1 lit. b DSGVO. Die Protokolldateien enthalten technische Statusereignisse und Kosten-/Tokenwerte, jedoch keine Aufgabenbeschreibungen, Ergebnisse oder Anmeldesecrets.

Der aktuelle Dienst ist nur für den Betreiber zugänglich. Ein öffentlicher Kundenbereich besteht nicht. Bei einer Erweiterung für Kunden oder Verarbeitung im Auftrag Dritter werden Zwecke, Berechtigungen und vertragliche Anforderungen vorab gesondert festgelegt.

6. Freiwillige OpenAI-Recherche

Die kostenlose Mock-Simulation bleibt verfügbar. Zusätzlich kann der Betreiber ausdrücklich eine kostenpflichtige OpenAI-Recherche auswählen. Dafür werden die Aufgabenbeschreibung, technische Recherche-Anweisungen und eine zufällige Auftragskennung über HTTPS an die OpenAI-API übertragen. Das Modell kann daraus Suchanfragen an die integrierte Websuche ableiten. Die Ergebnisse, Quellenhinweise und Verbrauchsdaten werden anschließend auf dem eigenen Server gespeichert.

Die Funktion ist für öffentlich recherchierbare Themen digitaler Dienstleistungen vorgesehen. Aufträge dürfen keine vertraulichen oder personenbezogenen Angaben, Passwörter, API-Schlüssel oder Wallet-Secrets enthalten. Es werden keine Dateien, Kontaktlisten oder Browserdaten an OpenAI hochgeladen. Das Anmeldepasswort und der private SSH-Key werden nicht an OpenAI übermittelt. Die Auswahl im Formular bestätigt die gewünschte externe Recherche; sie ist keine Einwilligung stellvertretend für andere betroffene Personen.

Empfänger ist der OpenAI-Dienst hinter der API-Plattform. Die Verarbeitung kann in den USA und weiteren Ländern außerhalb des Europäischen Wirtschaftsraums erfolgen. In dieser Konfiguration ist kein ausschließlich europäischer Verarbeitungsstandort zugesichert. Die Nutzung unterliegt den zum API-Konto gehörenden Vertrags- und Datenschutzbedingungen; Informationen zu den Datenkontrollen stehen unter OpenAI – Data controls. Die Recherchefunktion dient der vom Betreiber gewünschten Analyse öffentlicher Informationen. Soweit technisch erforderliche personenbezogene Daten verarbeitet werden, ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO die kontrollierte Bereitstellung dieses Dienstes. Eine Verarbeitung personenbezogener Kunden- oder Beschäftigtendaten ist in diesem ersten Stand nicht vorgesehen und erfordert eine gesonderte Prüfung der Rechtsgrundlagen, Auftragsverarbeitung und Drittlandübermittlung.

Für das Abfragen und Abbrechen laufender Antworten wird der OpenAI-Hintergrundmodus mit gespeichertem Antwortzustand verwendet. Nach einer bestätigten Abrechnung fordert HABA die Löschung dieses Antwortobjekts an. Bei ungeklärter Abrechnung kann das Objekt zur Klärung erhalten bleiben. Dies entfernt keine getrennten Sicherheits- oder Missbrauchsprotokolle beim Anbieter. OpenAI beschreibt für die Responses-API standardmäßig mindestens 30 Tage Antwortzustand bei Speicherung und in der Regel bis zu 30 Tage Missbrauchsprotokolle, mit möglichen gesetzlichen oder Sicherheitsausnahmen. API-Inhalte werden nach OpenAI-Angaben standardmäßig nicht zum Modelltraining verwendet, sofern nicht ausdrücklich anders vereinbart.

Eine Anfrage ist auf eine Websuche, maximal 3.000 Ausgabetokens und eine Laufzeit von zwei Minuten begrenzt. Reservierungen, bestätigter Verbrauch und ungeklärte Kosten werden getrennt protokolliert. Ein Abbruch kann bereits entstandene API-Kosten nicht rückgängig machen. Wallets, Zahlungen an Geschäftspartner, Base und x402 bleiben deaktiviert; es gibt keine Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung für Personen im Sinne von Art. 22 DSGVO.

7. Speicherdauer, Papierkorb und Backups

Aufträge, Ergebnisse und der Datenbank-Ledger bleiben gespeichert, solange sie für den Betrieb und die nachvollziehbare Auftragsverwaltung benötigt werden. „Abschließen“ ändert den Verwaltungszustand. „In Papierkorb“ blendet den Auftrag aus der normalen Übersicht aus; dies ist keine endgültige Löschung. Wiederherstellung ist möglich. Der Betreiber prüft die Erforderlichkeit und bearbeitet Löschanfragen über den unten angegebenen Kontakt.

Technische Ereignisdateien werden nach Größe rotiert (bis zu sechs Dateien zu jeweils etwa 10 MB). Containerlogs werden begrenzt auf drei Dateien je Dienst zu jeweils etwa 10 MB. Fehler-/Betriebsprotokolle können zusätzliche technische Informationen enthalten. Es gibt keine aktivierten HTTP-Zugriffslogs im HABA-Reverse-Proxy oder der API.

Backups dienen der Wiederherstellung. Sie enthalten auch Auftragsdaten, Passwort-Hashes und Serverkonfiguration. Vorhandene Sicherungen werden getrennt verwaltet und derzeit manuell gelöscht; eine Änderung an einem Auftrag entfernt dessen frühere Daten nicht aus vorhandenen Backups. Nach einer Wiederherstellung müssen bereits durchgeführte Löschungen erneut berücksichtigt werden. Gesetzliche Aufbewahrungspflichten oder erforderliche Rechtsnachweise können einer sofortigen Löschung entgegenstehen.

8. Kontaktaufnahme

Bei einer Kontaktaufnahme per E-Mail oder Telefon werden die mitgeteilten Kontaktdaten und Inhalte verarbeitet, um die Anfrage zu beantworten. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nach Wegfall des Zwecks gelöscht, sofern keine Aufbewahrungspflichten oder erforderlichen Rechtsnachweise bestehen.

9. Externe Links

Schriften, Skripte und Oberflächen von HABA werden lokal bereitgestellt. Externe Inhalte oder Social-Media-Plugins werden nicht automatisch eingebettet. Beim bewussten Aufruf eines externen Links stellt dein Browser eine Verbindung zum jeweiligen Anbieter her. Für dessen weitere Verarbeitung gelten dessen Hinweise.

10. Deine Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Bei einer Verarbeitung auf Grundlage berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen (Art. 21). Erteilte Einwilligungen kannst du mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Für Anfragen nutze den Kontakt des Verantwortlichen.

11. Beschwerderecht

Du kannst dich gemäß Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Insbesondere zuständig: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf. E-Mail: poststelle@ldi.nrw.de, Internet: www.ldi.nrw.de.

12. Änderungen

Diese Erklärung wird bei Änderungen des Dienstes und insbesondere vor Aktivierung externer KI- oder Zahlungsdienste angepasst.