Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

Horn-Haustechnik
Inhaber Michael Horn
Olpener Straße 878
51109 Köln
Deutschland

Telefon: 0221 9553545
E-Mail: info@horn-haustechnik.com

2. Allgemeine Hinweise

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch und bei der Nutzung des SHK Werkzeugkoffers.

3. Hosting und Serverprotokolle

Beim Aufruf der Website können technisch erforderliche Protokolldaten verarbeitet werden. Dazu gehören insbesondere:

• IP-Adresse des aufrufenden Geräts,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite und HTTP-Methode,
• HTTP-Statuscode,
• Browsertyp und Betriebssystem,
• Referrer sowie Fehler- und Verbindungsdaten.

Die Verarbeitung erfolgt zur sicheren, zuverlässigen und technisch funktionsfähigen Bereitstellung der Website sowie zur Erkennung und Abwehr von Missbrauch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im sicheren und störungsfreien Betrieb der Anwendung.

4. Benutzerkonten und Registrierung

Bei der Registrierung werden insbesondere die E-Mail-Adresse, der Anzeigename, ein verschlüsselter Kennwort-Hash, der Kontostatus sowie technische Zeitangaben gespeichert.

Kennwörter werden nicht im Klartext gespeichert. Die Verarbeitung erfolgt zur Einrichtung und Verwaltung des Benutzerkontos sowie zur Bereitstellung angemeldeter Funktionen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung des Benutzerkontos erforderlich ist.

5. E-Mail-Bestätigung

Zur Bestätigung einer E-Mail-Adresse wird ein zeitlich begrenzter, einmal verwendbarer Bestätigungslink versendet.

In der Datenbank wird ausschließlich ein kryptografischer Hash des Bestätigungstokens gespeichert. Zusätzlich können Benutzer-ID, Ablaufzeit, Zeitpunkt der Verwendung, Anforderungszeitpunkt und IP-Adresse gespeichert werden.

6. Passwort-Zurücksetzung

Bei einer Passwort-Zurücksetzung wird ein zeitlich begrenzter und einmal verwendbarer Link an die hinterlegte E-Mail-Adresse gesendet.

Der eigentliche Token wird nicht im Klartext in der Datenbank gespeichert. Gespeichert werden nur der Token-Hash, Benutzer-ID, Ablaufzeit, Anforderungszeitpunkt, Verwendungszeitpunkt und gegebenenfalls die IP-Adresse.

Nach einer erfolgreichen Kennwortänderung werden bestehende Anmeldesitzungen des Kontos beendet.

7. Sitzungs-Cookie

Für angemeldete Benutzer wird das technisch notwendige Sitzungs-Cookie shk.sid verwendet.

Das Cookie ist als HttpOnly gekennzeichnet, verwendet SameSite=Lax und wird im Produktionsbetrieb ausschließlich über eine verschlüsselte HTTPS-Verbindung übertragen. Die Sitzungsdauer beträgt grundsätzlich acht Stunden und wird bei weiterer Nutzung verlängert.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.

8. Projekte, Organisationen und Tarife

Bei Nutzung angemeldeter Funktionen können persönliche Projekte, Projektversionen, Organisationszuordnungen, Rollen, Berechtigungen und Tarifinformationen verarbeitet werden.

Welche Funktionen verfügbar sind, richtet sich nach dem jeweiligen Tarif und den zugewiesenen Rollen und Rechten.

Die Verarbeitung erfolgt zur Bereitstellung und Verwaltung der vereinbarten Funktionen. Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.

9. Team-Einladungen und Mitgliedschaften

Organisationsverwalter können Personen über deren E-Mail-Adresse in eine Organisation einladen und ihnen eine Rolle zuweisen. Die E-Mail-Adresse kann dabei durch den einladenden Organisationsverwalter bereitgestellt werden.

Im Zusammenhang mit einer Einladung können insbesondere folgende Daten verarbeitet werden:

• E-Mail-Adresse der eingeladenen Person,
• Name und Kennung der Organisation,
• vorgesehene Rolle und Berechtigungen,
• Benutzer-ID der einladenden Person,
• kryptografischer Hash des Einladungstokens,
• Erstellungs- und Ablaufzeitpunkt,
• Annahme-, Widerrufs- und Änderungszeitpunkte,
• gegebenenfalls die bei der Anforderung verwendete IP-Adresse.

Der im Einladungslink enthaltene Token wird nicht im Klartext in der Datenbank gespeichert. Die Einladung ist grundsätzlich 48 Stunden gültig. Beim erneuten Versand wird ein neuer Token erzeugt und der vorherige Einladungslink ungültig. Widerrufene oder bereits angenommene Einladungen können nicht erneut verwendet werden.

Bei Annahme der Einladung wird ein Benutzerkonto erstellt und unmittelbar der einladenden Organisation mit der vorgesehenen Rolle zugeordnet. Die über die Einladung bestätigte E-Mail-Adresse gilt dabei als verifiziert.

Organisationsverwalter können eine bestehende Teammitgliedschaft beenden. Dabei wird ausschließlich die Zuordnung des Benutzers zur jeweiligen Organisation entfernt. Das Benutzerkonto selbst wird dadurch nicht automatisch gelöscht oder deaktiviert.

Nach dem Entfernen aus einer Organisation stehen die von dieser Organisationsmitgliedschaft abhängigen Rollen, Berechtigungen und Teamfunktionen nicht mehr zur Verfügung.

Soweit die Verarbeitung zur Einrichtung und Verwaltung eines angeforderten Teamzugangs erforderlich ist, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Im Übrigen erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der sicheren Verwaltung von Organisationszugängen, Berechtigungen und Teammitgliedschaften.

Stammt die E-Mail-Adresse nicht unmittelbar von der eingeladenen Person, ist die Quelle der Daten der einladende Organisationsverwalter beziehungsweise die einladende Organisation.

10. Sicherheits- und Auditprotokolle

Sicherheitsrelevante Vorgänge können in einem Auditprotokoll dokumentiert werden. Dazu gehören beispielsweise:

• Registrierung und Anmeldung,
• E-Mail-Bestätigung,
• Passwort-Zurücksetzung,
• Erstellung, Versand, erneuter Versand, Annahme und Widerruf von Einladungen,
• administrative Änderungen,
• Änderungen an Rollen und Berechtigungen,
• Aufnahme und Entfernung von Organisationsmitgliedschaften.

Dabei können Benutzer-ID, Organisation, betroffene E-Mail-Adresse, Vorgangsart, vorherige und neue Rolle, Zeitpunkt, IP-Adresse und technische Zusatzinformationen gespeichert werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Nachvollziehbarkeit sicherheitsrelevanter Vorgänge, der Missbrauchserkennung sowie dem Schutz von Benutzerkonten und Organisationen.

11. E-Mail-Versand

Transaktions-E-Mails werden über den vom Betreiber verwendeten Mailserver versendet. Dazu gehören insbesondere:

• E-Mail-Bestätigungen,
• Passwort-Zurücksetzungen,
• Einladungen zu einer Organisation,
• erneut versendete Einladungslinks.

Dabei werden die Empfängeradresse, gegebenenfalls der Anzeigename, der Name der Organisation, die vorgesehene Rolle, der Name der einladenden Person und die für den Versand erforderlichen technischen Informationen verarbeitet.

Als Absender wird noreply@horn.koeln verwendet.

12. Webanalyse mit Umami

Zur statistischen Auswertung der Nutzung wird die selbst gehostete Webanalyse-Software Umami eingesetzt. Die Umami-Instanz wird unter stats.horn.koeln auf eigener Serverinfrastruktur betrieben.

Umami verwendet in der hier eingesetzten Standardkonfiguration keine Marketing-Cookies. Erfasst werden insbesondere aufgerufene URL und Seitentitel, Referrer, Browsersprache und Bildschirmgröße.

Zur anonymen Zuordnung einer Sitzung verarbeitet Umami technisch die IP-Adresse und den User-Agent zusammen mit der Kennung dieser Website zu einem Sitzungs-Hash.

Die statistische Auswertung dient dazu, Nutzung und technische Funktion des SHK Werkzeugkoffers zu verstehen und das Angebot weiterzuentwickeln. Die Analysedaten werden in der selbst gehosteten Umami-Installation verarbeitet.

Es werden keine externen Schriftarten geladen und keine Marketing-Cookies verwendet.

13. Standortsuche und Geocoding

Für die Standort- und Klimawerkzeuge kann eine Adresse eingegeben oder eine Position auf der Karte ausgewählt werden. Die ausgewählte Standortinformation wird für die gemeinsame Nutzung der Standortmodule lokal im Browser gespeichert.

Zur Auflösung einer eingegebenen Adresse sowie zur Ermittlung einer Adresse aus einer gewählten Kartenposition wird der Geocoding-Dienst Nominatim von OpenStreetMap verwendet. Dabei werden die für die jeweilige Abfrage notwendigen Adress- beziehungsweise Standortdaten an diesen Dienst übermittelt.

Geocoding-Ergebnisse können zusätzlich serverseitig zwischengespeichert werden. Der Cache enthält insbesondere die Suchadresse, eine normalisierte Suchadresse, den vom Geocoder gelieferten Anzeigenamen, Koordinaten und die Kennzeichnung des verwendeten Geocoding-Dienstes. Dadurch sollen wiederholte externe Abfragen derselben Adresse vermieden werden.

Der Geocoding-Cache enthält keine Benutzer-ID und wird nicht zur Erstellung personenbezogener Nutzungsprofile verwendet.

14. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie sie für den jeweiligen Zweck, die Sicherheit des Dienstes oder gesetzliche Aufbewahrungspflichten erforderlich sind.

Offene Einladungen werden bis zu ihrer Annahme, ihrem Widerruf oder dem Ablauf ihrer Gültigkeit verarbeitet. Abgelaufene, angenommene oder widerrufene Einladungen und zugehörige Auditinformationen können anschließend noch für einen begrenzten Zeitraum zur Sicherheits- und Missbrauchsdokumentation gespeichert werden.

Abgelaufene oder verwendete Bestätigungs- und Passwort-Reset-Tokens können ebenfalls zur Sicherheitsdokumentation noch für einen begrenzten Zeitraum gespeichert und anschließend gelöscht oder anonymisiert werden.

Daten aktiver Benutzerkonten und Organisationsmitgliedschaften werden grundsätzlich für die Dauer des jeweiligen Nutzungs- oder Vertragsverhältnisses verarbeitet.

Wird eine Organisationsmitgliedschaft beendet, wird die aktive Zuordnung zur Organisation entfernt. Sicherheits- und Auditinformationen über die vorherige Mitgliedschaft und deren Entfernung können noch für einen begrenzten Zeitraum zur Nachvollziehbarkeit, Missbrauchsabwehr und Durchsetzung von Berechtigungen gespeichert werden.

Das Benutzerkonto bleibt nach dem Entfernen aus einer Organisation bestehen, bis es auf anderem Wege gelöscht wird oder ein sonstiger Löschgrund eintritt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

15. Betroffenenrechte

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere das Recht auf:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch gegen die Verarbeitung.

Zudem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.

16. Aktualisierung

Diese Datenschutzerklärung wird angepasst, wenn neue Funktionen, externe Dienste oder weitere Verarbeitungen personenbezogener Daten hinzukommen.

Stand: August 2026