Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:
Peer Hoelterhoff Beratung in der Informationstechnologie (hoelterhoff.consulting)
Inhaber: Peer Hoelterhoff
Dahlsheider Str. 10a, 32760 Detmold
Telefon: +49 521 927 6162, E-Mail: info@hoelterhoff.consulting

2. Was dieses Portal ist

hoelterhoff.support ist ein geschlossenes Kundenportal. Es dient Kunden von hoelterhoff.consulting mit laufendem Softwarevertrag dazu, Software-Releases der HCM DSGVO PowerSuite herunterzuladen, Lizenzschlüssel für ihre SAP-Systeme zu erzeugen und Supportanfragen zu stellen. Es gibt keine öffentliche Registrierung; Zugänge richtet hoelterhoff.consulting oder ein von Ihrem Unternehmen benannter Kundenadministrator ein. Das Portal enthält keine Werbung, keine Analyse- oder Tracking-Dienste und lädt keine Inhalte von Drittanbietern nach.

3. Welche Daten wir verarbeiten

Benutzerkonto. Name, geschäftliche E-Mail-Adresse, Rolle (Kundenadministrator oder Kundenbenutzer), Zuordnung zu Ihrem Unternehmen, Passwort (nur als Hashwert, nicht im Klartext), auf Wunsch ein Geheimnis für den zweiten Faktor (TOTP), Zeitpunkt der letzten Anmeldung sowie Fehlversuche und eine eventuelle vorübergehende Sperre.

Nutzung des Portals. Welche Benutzerin oder welcher Benutzer wann welche Aktion ausgeführt hat (zum Beispiel ein System registriert, einen Lizenzschlüssel erzeugt, eine Datei heruntergeladen, ein Ticket angelegt). Bei Downloads speichern wir zusätzlich die um das letzte Oktett gekürzte IP-Adresse.

Supportanfragen (Tickets). Betreff, Kategorie, betroffenes Modul und System, Versionsangabe und der von Ihnen eingegebene Freitext sowie der Verlauf der Antworten. Bitte geben Sie in Tickets keine personenbezogenen Echtdaten aus Ihren SAP-Systemen ein (keine Personalnummern, Namen, Infotyp-Inhalte oder Bildschirmfotos mit solchen Daten). Das Portal weist bei jeder Anfrage darauf hin und bietet bewusst keine Dateianhänge.

Server-Protokolle. Der Webserver protokolliert technisch bedingt Datum und Uhrzeit, aufgerufene Adresse, Statuscode, Browserkennung und IP-Adresse jedes Zugriffs. Diese Protokolle werden automatisch rotiert und nach kurzer Zeit überschrieben (in der Regel innerhalb weniger Wochen); sie dienen ausschließlich dem sicheren Betrieb und der Fehleranalyse.

Daten Ihres Unternehmens. Firmenname, Vertragsdaten (lizenzierte Module, Laufzeit, Anzahl Systeme), SAP-System-IDs, erzeugte Lizenzschlüssel und installierte Versionen. Diese Daten haben keinen Bezug zu einzelnen Personen.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten die Daten, um das Portal bereitzustellen und den Softwarevertrag mit Ihrem Unternehmen zu erfüllen: Auslieferung von Releases, Lizenzierung, Support. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse und das Interesse Ihres Unternehmens an der Abwicklung des Vertrags über benannte Ansprechpartner). Die Protokollierung von Anmeldungen, Schlüsselerzeugung und Downloads sowie die Server-Protokolle beruhen auf Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Portals, Nachvollziehbarkeit der Lizenzvergabe, Abwehr von Missbrauch). Soweit wir Daten aufbewahren, weil wir dazu gesetzlich verpflichtet sind, beruht dies auf Art. 6 Abs. 1 lit. c DSGVO.

5. Cookies

Das Portal setzt genau ein Cookie: hs_session. Es enthält Ihre verschlüsselt signierte Anmeldesitzung und ein Sicherheitsmerkmal gegen das Einschleusen fremder Anfragen (CSRF-Schutz). Ohne dieses Cookie ist eine Anmeldung technisch nicht möglich. Es wird für höchstens zwölf Stunden gespeichert und beim Abmelden gelöscht. Da es für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist, ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine weiteren Cookies, insbesondere keine für Statistik, Reichweitenmessung oder Marketing, und deshalb auch kein Einwilligungsbanner.

6. Empfänger und Auftragsverarbeiter

Hosting. Das Portal wird auf einem von uns verwalteten virtuellen Server der Hostinger-Unternehmensgruppe im Rechenzentrum Frankfurt am Main betrieben. Hostinger verarbeitet Daten ausschließlich in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO; hierzu gehören auch die vom Hoster angefertigten Sicherungen des Servers.

Sicherungskopien. Eine verschlüsselte Kopie der Datenbanksicherung wird zusätzlich in einem Speicher von Amazon Web Services in der Region Frankfurt (eu-central-1) abgelegt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Datenverlust). Mit Amazon Web Services EMEA SARL besteht ein Auftragsverarbeitungsvertrag.

E-Mail-Benachrichtigungen. Benachrichtigungen des Portals (zum Beispiel Einladungen, Hinweise auf neue Releases oder Antworten auf Tickets) werden über unser Microsoft-365-Postfach versendet. Microsoft verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Eine Übermittlung an sonstige Dritte findet nicht statt. Eine Übermittlung in Länder außerhalb der Europäischen Union erfolgt durch das Portal nicht; für Microsoft 365 gelten die Standardvertragsklauseln der EU-Kommission und das EU-US Data Privacy Framework, soweit Microsoft Daten außerhalb der EU verarbeitet.

7. Speicherdauer

Benutzerkonten und die zugehörigen Nutzungsprotokolle werden zwölf Monate nach Ende des Softwarevertrags Ihres Unternehmens automatisch anonymisiert: Name und E-Mail-Adresse werden entfernt, Protokolleinträge verlieren den Personenbezug. Konten, die Ihr Kundenadministrator sperrt, bleiben bis dahin gesperrt gespeichert, damit die Historie der Lizenzvergabe nachvollziehbar bleibt. Server-Protokolle werden automatisch rotiert und innerhalb weniger Wochen überschrieben. Tickets werden nach Abschluss aufbewahrt, solange der Vertrag läuft, und mit den Benutzerkonten anonymisiert. Vertragsdaten, System-IDs und Lizenzschlüssel Ihres Unternehmens bewahren wir für die Dauer der gesetzlichen Aufbewahrungsfristen auf.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an die oben genannte Kontaktadresse. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren; für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

9. Sicherheit

Die Verbindung zum Portal ist durchgehend mit TLS verschlüsselt. Passwörter werden mit einem modernen Hashverfahren (Argon2) gespeichert, Anmeldungen sind gegen Brute-Force-Angriffe gedrosselt, Administratorzugänge sind mit einem zweiten Faktor geschützt; auch Kundenbenutzer können einen zweiten Faktor einrichten. Downloads sind nur über kurzlebige, an das Benutzerkonto gebundene Links möglich. Der Server ist durch eine Firewall geschützt, wird automatisch mit Sicherheitsupdates versorgt und täglich gesichert.

10. Keine automatisierte Entscheidungsfindung

Es findet kein Profiling und keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich das Portal oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie auf dieser Seite.