Datenschutzerklärung

Wir, die TBit Solutions GmbH, nehmen den Schutz Ihrer personenbezogenen Daten ernst und halten uns strikt an die Regeln der Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG). Diese Erklärung informiert Sie in einfacher, verständlicher Sprache (Art. 12 DSGVO) darüber, welche Daten wir auf dieser Website verarbeiten, warum wir das tun und wie lange wir sie speichern.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

TBit Solutions GmbH
Tjark Brauner (Geschäftsführer)
Brinkheide 80
49214 Bad Rothenfelde
Deutschland
E-Mail: service@tbit-solutions.de
Telefon: +49 5424 39644780

Vollständige Pflichtangaben (auch zur Vertretung) finden Sie in unserem Impressum.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt. Eine gesetzliche Pflicht zur Bestellung besteht für unser Unternehmen derzeit nicht (§ 38 BDSG: weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; keine Kerntätigkeit, die nach Art. 37 Abs. 1 DSGVO eine Bestellung erfordert). Bei Datenschutzfragen wenden Sie sich bitte an die unter Ziffer 1 genannte Adresse.

3. Allgemeine Verarbeitungsgrundsätze

Wir verarbeiten personenbezogene Daten nur, wenn dies entweder gesetzlich erlaubt ist (z. B. zur Vertragserfüllung oder zur Wahrung berechtigter Interessen) oder Sie ausdrücklich eingewilligt haben. Wir erheben so wenige Daten wie nötig, speichern sie so kurz wie möglich und schützen sie durch technische und organisatorische Maßnahmen (siehe Ziffer 15).

In den folgenden Abschnitten erläutern wir für jeden einzelnen Verarbeitungs­vorgang: was wir verarbeiten, warum (Zweck und Rechtsgrundlage) und wie lange wir die Daten speichern.

4. Server-Logs (Caddy-Webserver)

Beim Aufruf unserer Website werden durch den Webserver (Caddy) technisch notwendige Informationen in einer Logdatei gespeichert:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• Aufgerufene URL und HTTP-Statuscode
• Übertragene Datenmenge
• Referrer-URL (verweisende Seite)
• User-Agent (Browser- und Betriebssystem-Kennung)

Zweck: Betrieb einer sicheren und stabilen Website, Erkennung und Abwehr von Angriffen, Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Stabilität).
Speicherdauer: 30 Tage. Danach werden die Logs automatisch gelöscht. Bei einem konkreten Sicherheitsvorfall kann eine längere Speicherung bis zur Aufklärung erforderlich sein.

5. Reichweitenmessung

Wir messen die Nutzung unserer Website selbst, auf unserer eigenen Infrastruktur in Deutschland. Dafür setzen wir keine Cookies, übermitteln keine Daten an Drittanbieter, erstellen kein persönliches Profil und erkennen Sie weder geräte- noch tagesübergreifend wieder. Die Messung hat zwei Stufen: eine Zählung ohne Einwilligung, die nur Tagessummen speichert (5.1), und eine Detailmessung, die nur mit Ihrer Einwilligung stattfindet (5.2). Das Kundenportal und unser interner Verwaltungsbereich werden in keiner der beiden Stufen erfasst.

5.1 Zählung ohne Einwilligung (nur Tagessummen)

Bei jedem vollständigen Laden einer Seite unserer Website wertet unser Server Angaben aus, die Ihr Browser mit jedem Seitenabruf ohnehin überträgt. Nicht gezählt werden Dateiabrufe (z. B. Bilder), das Vorab-Laden von Seiten durch den Browser sowie Aufrufe mit aktiviertem Do-Not-Track- oder Global-Privacy-Control-Signal. Ausgewertet werden:

• Aufgerufene Seite (Pfad) ohne URL-Parameter. Einzige Ausnahme sind die Kampagnen-Parameter utm_source, utm_medium und utm_campaign, falls sie in der Adresse stehen.
• Ob die Seite nicht gefunden wurde (Fehler 404)
• Verweisende Seite, nur der Hostname (keine vollständige Adresse), und daraus abgeleitet die Herkunftsart: direkt, Suchmaschine, soziales Netzwerk, E-Mail, Verweis von einer anderen Website oder Kampagne
• Grobe Kategorien aus der Browser-Kennung (User-Agent): Geräteklasse (Desktop, Smartphone, Tablet), Browser und Betriebssystem. Erkennbare automatisierte Zugriffe (Bots, Crawler, Skripte) zählen wir getrennt, nur mit dem Namen der Bot-Familie.
• Land (nur Ländercode), lokal aus der IP-Adresse ermittelt (siehe Ziffer 11)
• Tages-Besucher-Kennwert: Damit mehrere Seitenaufrufe desselben Besuchers an einem Tag nur einmal als Besucher zählen, bildet unser Server aus IP-Adresse und Browser-Kennung zusammen mit einem für jeden Kalendertag neu erzeugten Zufallswert einen pseudonymen Kennwert (Hash). Kennwert und Zufallswert werden nur für den laufenden Kalendertag (deutsche Zeit) gespeichert und kurz nach Tagesende gelöscht, spätestens rund 15 Minuten nach Mitternacht; in Datensicherungen werden beide nicht übernommen. Danach lässt sich der Kennwert auch von uns nicht mehr aus einer IP-Adresse nachbilden. IP-Adresse und Browser-Kennung selbst werden in dieser Messung nicht gespeichert.

Dauerhaft gespeichert werden ausschließlich Tagessummen, zum Beispiel „an diesem Tag 40 Aufrufe der Seite /leistungen" oder „12 Besucher über eine Suchmaschine". Einzelne Seitenaufrufe werden nicht gespeichert, und die Tagessummen enthalten keine Kennung einzelner Besucher.

Zweck: Reichweite unserer Website ermitteln (wie viele Besucher, welche Seiten, über welche Wege), Fehler beheben (nicht gefundene Seiten und defekte Verweise erkennen) sowie Sicherheit (automatisierte Zugriffe erkennen und von echten Besuchen trennen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in den genannten Zwecken. Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, weil dabei weder Informationen auf Ihrem Endgerät gespeichert noch von dort ausgelesen werden: Ausgewertet wird nur, was Ihr Browser bei jedem Seitenabruf ohnehin an unseren Server sendet.
Speicherdauer: Tagessummen 25 Monate, danach automatische Löschung. Der Tages-Besucher-Kennwert wird kurz nach Ende des jeweiligen Tages gelöscht (siehe oben).
Widerspruch:Sie können der Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen. Am einfachsten aktivieren Sie in Ihrem Browser das Signal „Do Not Track" (DNT) oder „Global Privacy Control" (Sec-GPC): Aufrufe mit einem dieser Signale zählen wir nicht. Da wir keine Kennung über den Tag hinaus speichern, können wir Sie anders nicht gezielt ausnehmen.

5.2 Detailmessung mit Einwilligung

Nur wenn Sie im Cookie-Banner der Kategorie „Statistik" zustimmen, sendet ein Skript auf unserer Website bei jedem Seitenwechsel einen Datensatz an unseren Server und ergänzt beim Verlassen der Seite Verweildauer und Scroll-Tiefe. Je Seitenaufruf werden gespeichert:

• Aufgerufene Seite (Pfad einschließlich URL-Parameter) und Zeitpunkt
• Verweildauer auf der Seite
• Scroll-Tiefe (in Prozent)
• Grobe Kategorien aus der Browser-Kennung (Browser, Betriebssystem, Geräteklasse)
• Spracheinstellung des Browsers
• Land (nur Ländercode, lokal ermittelt — siehe Ziffer 11)
• Verweisende Seite (nur Hostname, keine vollständige Adresse)
• Kampagnen-Parameter (utm_source, utm_medium, utm_campaign), falls in der Adresse enthalten
• Gekürzte IP-Adresse: bei IPv4 wird der letzte Block auf 0 gesetzt, bei IPv6 bleiben nur die ersten 48 Bit erhalten. Die vollständige IP-Adresse wird nicht gespeichert.
• Pseudonymer Tageskennwert (Hash) aus IP-Adresse sowie Browser- und Betriebssystem-Kategorie, gebildet mit einem für jeden Kalendertag (deutsche Zeit) neu erzeugten Zufallswert. Er dient dazu, Besucher pro Tag zu zählen und Verweildauer und Scroll-Tiefe dem richtigen Seitenaufruf zuzuordnen. Der Zufallswert wird kurz nach Tagesende gelöscht, spätestens rund 15 Minuten nach Mitternacht, und nicht in Datensicherungen übernommen. Danach lässt sich der gespeicherte Kennwert auch von uns nicht mehr aus einer IP-Adresse nachbilden.

Bei aktiviertem Do-Not-Track- oder Global-Privacy-Control-Signal sowie bei erkennbaren automatisierten Zugriffen findet keine Detailmessung statt, auch nicht mit Einwilligung.

Zweck: Optimierung unserer Website (welche Inhalte werden gelesen, an welcher Stelle springen Besucher ab), keine Werbung, kein Profiling.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 25 Abs. 1 TDDDG.
Speicherdauer: Einzelne Datensätze 6 Monate (180 Tage), danach automatische Löschung. Darüber hinausgehende Auswertungen dieser Daten bewahren wir nicht auf.
Widerruf: Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen. Der Widerruf wirkt für die Zukunft.

6. Cookies und lokaler Speicher

Wir setzen Cookies und Einträge im lokalen Speicher Ihres Browsers nur sparsam und nach folgender Logik ein:

6.1 Technisch notwendige Cookies / Storage (ohne Einwilligung)

• cookie-consent-v1 (localStorage) — speichert Ihre Cookie-Entscheidung selbst. Lebensdauer: bis zu 12 Monate, anschließend erneute Abfrage. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderlich).
• Session-Cookie (Kundenportal) — hält Sie nach dem Login eingeloggt. Lebensdauer: bis zum Logout oder Sitzungsende. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• CSRF-Token — schützt Formular-Übermittlungen im Kundenportal (z. B. Login) vor Cross-Site-Request-Forgery. Lebensdauer: Sitzung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

6.2 Optionale Cookies / Storage (nur mit Einwilligung)

• Statistik-Einwilligung — siehe Ziffer 5.2. Die Detailmessung läuft nur, wenn Sie zustimmen.

Marketing- oder Drittanbieter-Cookies setzen wir nicht ein.

7. E-Mail-Kontakt

Wenn Sie uns per E-Mail schreiben, verarbeiten wir folgende Daten:

• E-Mail-Adresse
• Name und Firma (sofern angegeben)
• Inhalt und Betreff Ihrer Nachricht
• Zeitpunkt der Nachricht

Empfänger: Ihre Nachricht wird per E-Mail über Microsoft 365 empfangen und bei Bedarf in unserem Ticket-System (work4all, siehe Ziffer 9) bearbeitet.
Zweck: Bearbeitung Ihrer Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung Ihrer Anfrage).
Speicherdauer: Mail-Kopie im Postfach (Microsoft 365) nach den handels- und steuerrechtlichen Aufbewahrungsfristen (max. 10 Jahre bei vertrags-/rechnungsrelevanter Korrespondenz, ansonsten 6 Jahre nach § 257 HGB; reine Routine-Anfragen ohne Vertragsbezug: 3 Jahre).

8. Kundenportal (Phase 2)

Unser Kundenportal steht ausschließlich Bestandskundinnen und -kunden zur Verfügung. Im Rahmen des Logins und der Nutzung verarbeiten wir:

• Kundennummer und E-Mail-Adresse
• Passwort (gespeichert ausschließlich als Argon2id-Hash)
• Zwei-Faktor-Geheimnis (TOTP) und Backup-Codes (verschlüsselt)
• Session-Token zur Aufrechterhaltung der Anmeldung
• Audit-Log: Zeitpunkt, Aktion (z. B. Login, Passwortänderung), IP-Adresse, User-Agent, Pfad. Speicherdauer: 90 Tage.
• Bekannte Geräte: Hash des User-Agents und ein /24-Bucket der IP-Adresse (Subnetz-Maskierung), um neue Anmeldungen aus unbekannten Umgebungen erkennen zu können.
• IP-Sperrtabelle: Bei wiederholten Fehlversuchen wird die IP zeitlich befristet gesperrt. Speicherdauer: bis zum Ablauf der Sperre.
• Inhalt von Tickets, Anhängen und Bestelldaten (siehe Ziffer 9 — work4all).

Zweck: Authentifizierung, Schutz vor Account-Übernahme, Vertragsabwicklung, Support.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit für Audit-Log und IP-Sperre).
Speicherdauer: Audit-Log 90 Tage; IP-Sperren bis Ablauf; Account-Daten für die Dauer des Kundenverhältnisses zzgl. gesetzlicher Aufbewahrungsfristen.

9. Auftragsverarbeiter

Mit den folgenden Dienstleistern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO):

9.1 Hetzner Online GmbH (Hosting)

Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Sämtliche Server stehen in Deutschland. Es findet keine Übermittlung in ein Drittland statt. AVV nach Art. 28 DSGVO liegt vor.

9.2 Microsoft Ireland Operations Limited (E-Mail über Microsoft 365 / Graph)

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Wir nutzen Microsoft 365 bzw. die Microsoft Graph API für den Versand und Empfang geschäftlicher E-Mails. Unser Tenant-Standort liegt in der EU (EU Data Boundary).

Drittland-Hinweis: Die Microsoft Corporation (USA) als Konzernmutter kann auf Daten potenziell zugreifen. Als geeignete Garantien nach Art. 46 DSGVO kommen die EU-Standardvertragsklauseln (Module Microsoft Products and Services DPA), das EU-US Data Privacy Framework (Microsoft nach eigenen Angaben zertifiziert) sowie die Microsoft Online Services DPA (AVV) zur Anwendung.

9.3 work4all GmbH (ERP-/Ticket-Backend)

work4all GmbH (Anbieter der gleichnamigen ERP-/CRM-Software). Daten aus dem Kundenportal und aus E-Mail-Anfragen fließen — sofern aktiviert — in unser ERP-/Ticketsystem ein. Die work4all-Instanz wird auf unserer eigenen Infrastruktur in Deutschland betrieben. Weitere Informationen: work4all.de.

9.4 KI-gestützte Werkzeuge in der Leistungserbringung

Zur Erbringung unserer Dienstleistungen — insbesondere Softwareentwicklung, Webentwicklung, Schnittstellen-Analyse und Automatisierung — setzen wir in erheblichem Umfang KI-Assistenzsysteme führender Anbieter ein (insbesondere Anthropic PBC mit dem Modell „Claude" sowie OpenAI mit „ChatGPT" und „Codex"). Diese Anbieter haben ihren Sitz und ihre Verarbeitungsstandorte überwiegend in den USA.

Was wir verarbeiten: Verarbeitet werden technische Inhalte (Quellcode, Konfigurationen, Schnittstellen-Antworten, Datenstrukturen) sowie — da wir vollständig KI-gestützt entwickeln und testen — auch darin enthaltene echte personenbezogene Daten aus den Systemen unserer Auftraggeber. Diese Verarbeitung im Kundenauftrag ist durch den jeweiligen Auftragsverarbeitungsvertrag generell geregelt und genehmigt; besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind ausgenommen und werden nur nach vorheriger Information des Auftraggebers verarbeitet.

Drittland-Hinweis: Die Verarbeitung erfolgt überwiegend in den USA. Als geeignete Garantien nach Art. 44 ff. DSGVO kommen die EU-Standardvertragsklauseln zur Anwendung. Anthropic PBC ist zudem nach eigenen Angaben unter dem EU-U.S. Data Privacy Framework zertifiziert. OpenAI bietet einen EU-Tier (OpenAI Ireland Ltd.) mit EU-Datenresidenz für API-Zugriffe, den wir bevorzugt nutzen. Hinzu kommen geschäftliche Vertraulichkeitszusagen beider Anbieter (in der Regel: kein Training auf Eingaben, keine Speicherung über die für den Betrieb erforderliche Sitzungs- und Logging-Dauer hinaus). Eine Übersicht der wesentlichen eingesetzten Dienste wird Auftraggebern auf Anfrage in Textform mitgeteilt.

Hinweis Website-Besucher: Beim bloßen Besuch dieser Website oder bei einer E-Mail-Anfrage werden Ihre Daten nicht in KI-Werkzeuge übermittelt. Diese Verarbeitung betrifft ausschließlich unsere Auftragsleistung für Geschäftskunden im Rahmen konkreter Entwicklungsaufträge.

10. Drittanbieter-Aufrufe (ohne Auftragsverarbeitung)

10.1 Have I Been Pwned (HIBP) — Passwort-Sicherheitsprüfung

Wenn Sie im Kundenportal ein neues Passwort vergeben, prüfen wir, ob das gewählte Passwort in bekannten Datenleaks aufgetaucht ist. Hierfür wird clientseitig ein SHA-1-Hash Ihres Passworts gebildet und nur die ersten 5 Hex-Stellen dieses Hashes an die HIBP-API unter api.pwnedpasswords.com gesendet (k-Anonymity-Verfahren — bedeutet: der Server erhält nur ein Hash-Prefix und kann darauf basierend keine Rückrechnung auf das Passwort vornehmen). Es entsteht kein direkter Personenbezug, da weder Klartext-Passwort noch der vollständige Hash übertragen werden.

Anbieter: Superlative Enterprises Ltd. / Troy Hunt; Infrastruktur teilweise Cloudflare in UK / USA. Für das Vereinigte Königreich liegt ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO vor.
Zweck: Schutz Ihres Accounts vor Datenleck-Passwörtern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit).

11. Lokale GeoIP-Bestimmung

Zur groben Länderbestimmung (nur Ländercode, z. B. „DE") nutzen wir eine lokal gehostete GeoIP-Datenbank (geoip-lite). Es findet kein Aufruf einer externen API statt; Ihre IP-Adresse verlässt unseren Server nicht. Stadt- oder Region-Daten werden nicht ermittelt.

12. Cookie-Banner und Widerruf der Einwilligung

Beim ersten Besuch zeigen wir einen Cookie-Banner mit den Optionen „Akzeptieren", „Ablehnen" und „Einstellungen". Standardmäßig sind alle optionalen Verarbeitungen deaktiviert; sie werden erst nach Ihrer ausdrücklichen Zustimmung aktiv. Ihre Entscheidung wird im lokalen Speicher Ihres Browsers für bis zu 12 Monate gespeichert.

Sie können Ihre Einwilligung jederzeit widerrufen — entweder durch Klick auf den Footer-Link „Cookie-Einstellungen" oder durch Löschen der entsprechenden Browser-Daten. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

13. Profiling und automatisierte Entscheidungen (Art. 22 DSGVO)

Zum Schutz unserer Systeme vor Missbrauch setzen wir technisch zwei automatisierte Mechanismen ein:

• IP-Sperre: Bei wiederholten Fehlversuchen (z. B. fehlgeschlagene Logins, Form-Spam) wird die anfragende IP-Adresse zeitlich befristet gesperrt.
• Account-Lockout: Nach mehrfachen Falsch-Eingaben des Passworts wird der betroffene Account vorübergehend gesperrt.

Diese Entscheidungen sind technisch erforderlich für IT-Sicherheit und haben keine erheblichen rechtlichen oder ähnlich beeinträchtigenden Auswirkungen im Sinne von Art. 22 DSGVO, da die Sperren zeitlich begrenzt sind und Sie sich jederzeit per E-Mail an service@tbit-solutions.de wenden können, um den Vorgang zu klären. Eine Profilbildung über Sie als Person findet nicht statt.

14. Ihre Rechte als betroffene Person

Sie haben gegenüber uns jederzeit die folgenden Rechte:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Nachricht an service@tbit-solutions.de.

Beschwerderecht bei der Aufsichtsbehörde: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für unser Unternehmen zuständig ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
lfd.niedersachsen.de

15. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach dem Stand der Technik ein, um Ihre Daten zu schützen — insbesondere:

• Transportverschlüsselung (TLS) für alle Verbindungen zur Website
• Speicherung von Passwörtern ausschließlich als Argon2id-Hash
• Zwei-Faktor-Authentifizierung (TOTP) für das Kundenportal
• Verschlüsselung sensibler Konfigurationsdaten mit AES-256-GCM
• Pseudonymisierung der IP-Adresse in der Reichweitenmessung
• Regelmäßige Sicherheitsupdates, Backups und Zugriffsbeschränkungen auf unserer Infrastruktur

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen an unserer Website oder an den rechtlichen Rahmenbedingungen dies erforderlich machen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Stand: 22.10.2026.