Datenschutzerklärung

Stand: 11.11.2026 · Fassung 2026-11

Diese Erklärung informiert nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir als Verantwortlicher verarbeiten, wenn Sie unsere Website besuchen, ein Benutzerkonto für REZQ nutzen oder mit uns in Kontakt stehen.

1. Verantwortlicher

Louis Ninmer
Gerhart-Hauptmann-Straße 1
E-Mail: louis.ninmer@icloud.com
Telefon: 01727423249

Für Fragen zum Datenschutz erreichen Sie uns unter louis.ninmer@icloud.com.

2. Wofür wir verantwortlich sind – und wofür nicht

REZQ ist eine Software für Unternehmen der Veranstaltungstechnik und Vermietung („Kunden“).

• Daten, die Kunden in REZQ verarbeiten (z. B. Kunden- und Kontaktdaten, Projekte, Angebote und Rechnungen, Daten von Beschäftigten und Freelancern wie Einsatzplanung, Abwesenheiten und Arbeitszeiten, Dateien, Kundenportal, Website-Anfragen, Geschäftsmails): Verantwortlicher ist der jeweilige Kunde. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen als Auftragsverarbeiter (Art. 28 DSGVO, Vertrag zur Auftragsverarbeitung). Informationen dazu erhalten Sie vom jeweiligen Unternehmen – als Beschäftigte oder Freelancer von Ihrem Auftraggeber, als dessen Kunde von Ihrem Vertragspartner.
• Daten, für die wir selbst verantwortlich sind – Gegenstand dieser Erklärung: Besuch der Website und der Produktseite, Benutzerkonten und Anmeldung, Sicherheit und Betrieb der Plattform, Kommunikation mit uns, Vertragsabwicklung mit unseren Kunden und Produktinformationen.

3. Besuch der Website und Server-Protokolle

Beim Aufruf unserer Seiten verarbeitet unser Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung. Im Zugriffsprotokoll speichern wir die IP-Adresse nur gekürzt (IPv4 auf die ersten zwei Blöcke, IPv6 auf die ersten 32 Bit) und die Adresse ohne Parameter und ohne Zugangs-Tokens. Die Protokolle werden größenabhängig rotiert und automatisch überschrieben.

Zum Schutz vor Missbrauch (z. B. zu vieler Anmeldeversuche oder Formularanfragen) verarbeiten wir die IP-Adresse kurzfristig für Zugriffsbegrenzungen; diese Einträge werden spätestens nach 24 Stunden gelöscht.

Zweck ist die sichere und stabile Bereitstellung der Website; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb).

4. Cookies und Speicherung im Browser

Wir setzen ausschließlich Cookies und Browserspeicher ein, die für den von Ihnen gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht erforderlich, daher gibt es kein Cookie-Banner:

• Anmeldesitzung (Cookie, bis zur Abmeldung bzw. höchstens 7 Tage ohne Nutzung)
• Zwischenschritt der Zwei-Faktor-Anmeldung (Cookie, wenige Minuten) und – nur wenn Sie „Gerät vertrauen“ wählen – Wiedererkennung des Geräts (Cookie, bis zu 30 Tage)
• Ihre Einstellungen wie hell/dunkel, gewählte Ansicht oder Scanner-Ton (localStorage, bis Sie sie ändern oder den Browserspeicher löschen)
• Offline-Funktion der App (Service Worker speichert nur statische Programmdateien, keine Inhalte)

Es gibt kein Tracking, keine Analyse- oder Werbe-Cookies und keine im Browser eingebundenen Dienste Dritter; Schriftarten werden von unserem eigenen Server geladen. Links zu Kartendiensten (z. B. „In Google Maps öffnen“) übermitteln erst beim Anklicken Daten an den jeweiligen Anbieter; dafür gilt dessen Datenschutzerklärung.

5. Benutzerkonto und Anmeldung

Für ein Benutzerkonto verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als bcrypt-Hashwert), optional Telefonnummer, die Zugehörigkeit zu Firmen und die Rolle dort, Zeitpunkt der letzten Anmeldung, die Fassung der akzeptierten Nutzungsbedingungen mit Zeitpunkt sowie bei aktivierter Zwei-Faktor-Anmeldung ein verschlüsseltes TOTP-Geheimnis und Backup-Codes.

Zwecke sind die Bereitstellung des Zugangs, die Anmeldung und die Absicherung des Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis bzw. Vertrag mit Ihrem Unternehmen). Werden Sie von einem Kunden eingeladen (z. B. als Beschäftigte/r oder Freelancer), ist Rechtsgrundlage zusätzlich Art. 6 Abs. 1 lit. f DSGVO – unser Interesse und das des Kunden, Zugänge sicher bereitzustellen. Der Nachweis über die akzeptierten Nutzungsbedingungen beruht auf Art. 6 Abs. 1 lit. f DSGVO.

Bei der Wahl eines Passworts prüfen wir, ob es aus bekannten Datenlecks stammt („Have I Been Pwned“). Dabei übermittelt unser Server nur die ersten fünf Zeichen des SHA-1-Hashwerts des Passworts (k-Anonymität); das Passwort selbst und Ihre IP-Adresse verlassen unsere Server nicht.

6. Sicherheitsprotokoll und Sitzungen

Zum Schutz vor Missbrauch protokollieren wir Anmeldungen, fehlgeschlagene Anmeldeversuche und sicherheitsrelevante Vorgänge (z. B. Rechteänderungen, Exporte, Löschungen) mit Zeitpunkt, IP-Adresse und Browserkennung. Die Einträge zu einer Firma sind für deren Administration einsehbar und werden nach 12 Monaten automatisch gelöscht; nach einer Kontolöschung bleiben sie bis zum Fristende ohne Verknüpfung zum Konto erhalten. Sitzungsdaten (IP-Adresse, Gerät) werden mit Ablauf der Sitzung gelöscht. Fehlerprotokolle des Servers enthalten keine Formularinhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit der Verarbeitung, Art. 32 DSGVO).

7. E-Mails

Wir versenden Kontomitteilungen (z. B. Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Einladungen; Art. 6 Abs. 1 lit. b DSGVO) und im Auftrag unserer Kunden deren Geschäftsmails (Auftragsverarbeitung). E-Mails enthalten keine Tracking-Pixel und keine Zähl-Links. Mail-Inhalte werden nach 90 Tagen aus dem Postausgang entfernt, das Versandprotokoll (Empfänger, Betreff, Zeitpunkt, Status) nach 2 Jahren gelöscht.

8. Kontakt, Vertrag und Produktinformationen

• Kontaktaufnahme: Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung des Anliegens (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst lit. f) und löschen sie, wenn sie nicht mehr erforderlich sind, sofern keine Aufbewahrungspflicht besteht.
• Vertragsabwicklung mit Firmenkunden: Firmen- und Ansprechpartnerdaten, Tarif, Lizenz, Rechnungen und Zahlungen verarbeiten wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und zur Erfüllung handels- und steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO; Aufbewahrung von Rechnungen 8 Jahre, Handelsbriefe 6 Jahre).
• Plattform-Verwaltung: Unsere Plattform-Administration sieht zu jeder Firma nur Verwaltungsdaten (Name, Tarif, Anzahl und Rollen der Mitglieder mit Name, E-Mail, Zwei-Faktor-Status und letzter Anmeldung, Speicherbelegung) – keine Geschäftsdaten (Art. 6 Abs. 1 lit. b und f DSGVO).
• Produktinformationen per E-Mail senden wir nur mit Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG) oder als Bestandskunde für eigene ähnliche Leistungen (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Sie können der Verwendung Ihrer Daten für Werbung jederzeit widersprechen bzw. eine Einwilligung widerrufen – eine kurze Nachricht an louis.ninmer@icloud.com genügt.

9. Öffentliche Demo

In einer öffentlichen Demo-Umgebung sind alle Firmen, Personen und Zahlen frei erfunden. Eingaben werden regelmäßig zurückgesetzt; bitte geben Sie dort keine echten personenbezogenen Daten ein.

10. Empfänger und Unterauftragsverarbeiter

Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

• Hetzner Online GmbH, Gunzenhausen, Deutschland – Rechenzentrum und Server (Anwendung, Datenbank, lokale Sicherungen). Ort der Verarbeitung: Deutschland.
• IONOS SE, Montabaur, Deutschland – Objektspeicher (S3): Dateien, Belegarchiv und verschlüsselte Datensicherungen – Inhalte vor der Übertragung anwendungsseitig verschlüsselt. Ort der Verarbeitung: Deutschland (Region eu-central-4, Frankfurt am Main).
• Sendinblue SAS (Brevo), Paris, Frankreich – E-Mail-Versand (SMTP-Relay): Systemmails und – sofern der Kunde keinen eigenen SMTP-Server hinterlegt – Geschäftsmails des Kunden samt Anhängen. Ort der Verarbeitung: EU.

Weitere technisch eingebundene Dienste ohne Zugriff auf personenbezogene Daten:

• Let’s Encrypt (Internet Security Research Group, USA): Ausstellung der TLS-Zertifikate – übermittelt wird nur der Domainname.
• „Have I Been Pwned“-Passwortprüfung (api.pwnedpasswords.com, Cloudflare/USA): übermittelt werden nur die ersten 5 Zeichen eines SHA-1-Hashwerts (k-Anonymität) vom Server aus – kein Passwort, keine IP-Adresse der Nutzer.
• Betriebsalarme (ntfy.sh): Störungsmeldungen über den Serverzustand – ohne personenbezogene Daten.
• Lebenszeichen-Überwachung (hc-ping.com): regelmäßiger Aufruf ohne Inhalt – ohne personenbezogene Daten.

Eine Übermittlung personenbezogener Daten in Länder außerhalb der EU bzw. des EWR findet durch uns und unsere Unterauftragsverarbeiter nicht statt. Eine Weitergabe an sonstige Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

11. Speicherdauer und Datensicherung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen (Fristen siehe oben). Kontodaten speichern wir, solange das Konto besteht; nach der Löschung des Kontos (jederzeit selbst unter „Konto & Sicherheit“ möglich) werden sie unverzüglich gelöscht. Datensicherungen sind verschlüsselt und werden nach spätestens 90 Tagen gelöscht; bis dahin können gelöschte Daten noch in Sicherungen enthalten sein, werden daraus aber nicht verwendet.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Auskunft (Download Ihrer Kontodaten) und Löschung Ihres Kontos können Sie selbst unter „Konto & Sicherheit“ ausführen. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Verarbeitung für Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Für Daten, die ein Kunde in REZQ verarbeitet, wenden Sie sich bitte an diesen Kunden als Verantwortlichen; wir leiten Anfragen, die uns erreichen, an ihn weiter.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes. Für uns zuständig ist die für den Sitz des Anbieters zuständige Datenschutz-Aufsichtsbehörde.

13. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Ohne die für das Konto erforderlichen Angaben (Name, E-Mail-Adresse, Passwort) ist eine Nutzung von REZQ nicht möglich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

14. Änderungen

Wir passen diese Erklärung an, wenn sich Verarbeitungen oder Rechtslage ändern. Maßgeblich ist die hier veröffentlichte Fassung.