Datenschutzhinweise für MobilityMCP, TourismMCP und PROJEKTIONISTEN ÖPNV

Fassung 1.1 · Stand: 21. September 2026

Diese Hinweise gelten für unsere Schnittstellen MobilityMCP und TourismMCP sowie für PROJEKTIONISTEN ÖPNV, einen Zugang, der beide Schnittstellen in einem gemeinsamen Werkzeug-Satz anbietet, die zugehörigen Anmeldeseiten unter ai.projektionisten.eu/auth/… und das Portal „Mein Konto“ (zusammen „Dienst“). Für den Besuch unserer Website gilt die allgemeine Datenschutzerklärung unter https://www.projektionisten.de/datenschutz.

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlich ist die PROJEKTIONISTEN® GmbH, Schaufelder Straße 11, Im Werkhof, 30167 Hannover, Telefon +49 511 123 578-0, E-Mail info@projektionisten.de. Verantwortlich zu sein bedeutet: Wir entscheiden, wozu und auf welche Weise Ihre Daten verarbeitet werden, und Sie richten die Rechte aus Abschnitt 19 an uns.

Unseren Datenschutzbeauftragten erreichen Sie unter datenschutz@projektionisten.de (Jhcon.de Unternehmens- und Datenschutzberatung, Dipl.-Ing. Jörg Hagen, Veilchenweg 6a, 30989 Gehrden).

2. Der Dienst in Kürze

MobilityMCP, TourismMCP und PROJEKTIONISTEN ÖPNV sind Schnittstellen, über die KI-Assistenten und andere Anwendungen Mobilitäts- und Tourismusinformationen abrufen, etwa Verbindungen, Abfahrten, Sehenswürdigkeiten oder Wetter. Für den kostenlosen Demo-Zugang legen Sie ein Konto an.

Den Dienst und alle unten genannten Datenbanken und Protokolle betreiben wir auf von uns allein genutzten Servern in einem deutschen Rechenzentrum (Abschnitt 3). Außerhalb dieser Server verarbeiten wir personenbezogene Daten nur dort, wo es unten ausdrücklich steht, insbesondere beim Versand von E-Mails (Abschnitt 11).

3. Hosting

Wir betreiben den Dienst auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Falkenstein/Vogtland (Deutschland). Hetzner verarbeitet die Daten in unserem Auftrag und darf sie nicht für eigene Zwecke nutzen; das haben wir mit Hetzner vertraglich vereinbart (Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO). Nutzen Sie ein Konto, dürfen wir das tun, weil wir das Hosting brauchen, um Ihnen dieses Konto vertragsgemäß bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). In allen anderen Fällen stützen wir uns auf unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Registrierung und Benutzerkonto

Welche Daten: Benutzername, E-Mail-Adresse, optional Vor- und Nachname, Ihr Passwort (nur als kryptografischer Hashwert), der Status der E-Mail-Bestätigung, der Zeitpunkt der Registrierung und der letzten Anmeldung, der Zeitpunkt und die Fassung der von Ihnen akzeptierten Nutzungsbedingungen, Ihre Bestätigung, mindestens 18 Jahre alt zu sein, sowie - falls Sie sie erteilen - Ihre Einwilligung in werbliche E-Mails (Abschnitt 11).

Wozu und auf welcher Grundlage: zur Bereitstellung des Demo-Zugangs und zum Nachweis des Vertragsschlusses, Art. 6 Abs. 1 lit. b DSGVO. Die Pflichtangaben sind für den Vertrag erforderlich; ohne sie können wir keinen Zugang einrichten.

Altersbestätigung: Ihre Bestätigung, mindestens 18 Jahre alt zu sein, speichern wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, den Dienst nur voll geschäftsfähigen Personen zugänglich zu machen, die also wirksam eigene Verträge schließen können, und Minderjährige zu schützen. Erfahren wir, dass ein Konto von einer minderjährigen Person angelegt wurde, löschen wir es unverzüglich.

Ablauf: Nach dem Absenden des Formulars erhalten Sie eine E-Mail mit einem Bestätigungslink, der 24 Stunden gültig ist. Erst nach der Bestätigung wird das Konto aktiviert und Sie legen Ihr Passwort fest. Nicht bestätigte Registrierungen löschen wir nach 7 Tagen.

5. Anmeldung mit Google (optional)

Statt mit E-Mail und Passwort können Sie sich mit Ihrem Google-Konto registrieren und anmelden. Wählen Sie „Mit Google fortfahren“, werden Sie zu Google weitergeleitet und melden sich dort an. Google übermittelt uns danach eine Google-interne Kennung, Ihre E-Mail-Adresse, deren Bestätigungsstatus und Ihren Namen; wir speichern diese Angaben in Ihrem Konto. Zugangs-Token von Google speichern wir nicht. Google erfährt dabei, dass Sie sich bei unserem Dienst anmelden. Besteht bei uns bereits ein Konto mit derselben bestätigten E-Mail-Adresse, werden beide Anmeldewege diesem Konto zugeordnet.

Rechtsgrundlage: Sie wählen diesen Anmeldeweg selbst. Rechtsgrundlage für die Verarbeitung der von Google übermittelten Angaben ist Art. 6 Abs. 1 lit. b DSGVO: Die Angaben sind erforderlich, um das von Ihnen gewählte Anmeldeverfahren einzurichten und Ihr Konto zu führen. Ergänzend stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicheres Anmeldeverfahren, für das Sie bei uns kein weiteres Passwort vergeben müssen. Die Angaben stammen aus Ihrem Google-Konto (Art. 14 Abs. 2 lit. f DSGVO). Wir speichern sie, solange Ihr Konto besteht, und löschen sie mit dem Konto. Möchten Sie Google nicht einbinden, registrieren Sie sich stattdessen mit E-Mail-Adresse und Passwort; Ihr Konto können Sie jederzeit im Portal „Mein Konto“ oder per E-Mail an support@projektionisten.de löschen lassen.

Verantwortlichkeit: Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Für die Verarbeitung, die Google im Rahmen Ihrer Anmeldung bei Google in eigenem Interesse vornimmt, ist Google allein verantwortlich. Verantwortlich für die Weiterleitung zu Google und die anschließende Speicherung der übermittelten Angaben in Ihrem Konto sind wir. Google entscheidet selbst, wozu und auf welche Weise es Ihre Daten bei der Anmeldung verarbeitet; darauf haben wir keinen Einfluss. Deshalb sind wir dafür auch nicht mitverantwortlich, und eine Vereinbarung über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht mit Google nicht.

Drittland: Google Ireland Limited verarbeitet die Daten innerhalb der EU. Soweit Google Daten an die Google LLC in den USA übermittelt, stützt sich diese Übermittlung auf den EU-US Data Privacy Framework. Die Europäische Kommission hat am 10. Juli 2023 festgestellt, dass Unternehmen, die sich diesem Rahmen unterworfen haben, ein Datenschutzniveau bieten, das dem europäischen entspricht (Angemessenheitsbeschluss). Die Google LLC ist unter diesem Rahmen zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914). Das ist ein von der Kommission vorgegebener Vertragstext, der den Schutz Ihrer Daten auch dann sichert, wenn der Angemessenheitsbeschluss wegfallen sollte. Informationen von Google: https://policies.google.com/privacy.

6. Schutz vor Missbrauch der Registrierung

Rechenaufgabe statt Captcha: Beim Registrieren löst Ihr Browser eine kleine Rechenaufgabe (ALTCHA). Die Aufgabe wird auf unserem eigenen Server erzeugt und geprüft; es werden keine Cookies gesetzt und keine Daten an Dritte übermittelt.

Begrenzung je IP-Adresse: Unser Webserver begrenzt, wie oft eine IP-Adresse pro Minute die Registrierungs-, Bestätigungs- und Anmeldeseiten aufrufen darf. Für die Ratenbegrenzung selbst speichern wir die IP-Adresse nicht dauerhaft; sie wird nur kurzzeitig im Arbeitsspeicher gezählt. Unabhängig davon protokollieren wir IP-Adressen in Sicherheits- und Fehlerprotokollen; Einzelheiten und Löschfristen stehen in Abschnitt 10.

Fehlversuche: Fehlgeschlagene Anmeldungen zählen wir je Konto; nach wiederholten Fehlversuchen sperren wir die Anmeldung vorübergehend.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Dienstes und Ihres Kontos vor automatisierten Registrierungen und unbefugten Anmeldungen.

7. Cookies der Anmeldeseiten

Unsere Anmeldeseiten setzen ausschließlich technisch notwendige Cookies, die den Anmeldevorgang und Ihre Sitzung zusammenhalten. Sie enthalten keine Werbe- oder Analysedaten.

Im Einzelnen setzen wir: AUTH_SESSION_ID (Sitzungscookie), KC_AUTH_SESSION_HASH und KC_RESTART (Sitzungscookies), KC_STATE_CHECKER (Schutz vor Cross-Site-Request-Forgery), KEYCLOAK_LOCALE (gewählte Sprache) sowie nach der Anmeldung KEYCLOAK_IDENTITY und KEYCLOAK_SESSION (bis zum Ende der Sitzung, längstens 90 Tage). Bieten wir die Funktion „Angemeldet bleiben“ an und wählen Sie sie, kommt KEYCLOAK_REMEMBER_ME hinzu. Da alle diese Cookies unbedingt erforderlich sind, benötigen wir hierfür nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung; ein Einwilligungsbanner zeigen wir deshalb nicht an. Rechtsgrundlage für die anschließende Verarbeitung der Daten ist Art. 6 Abs. 1 lit. b DSGVO.

Eine Anmeldesitzung endet nach 14 Tagen ohne Aktivität, spätestens nach 90 Tagen. Die Anmeldung in einem KI-Assistenten bleibt bestehen, bis sie 30 Tage lang nicht genutzt wurde.

Die Anmeldeseiten laden keine Schriften, Skripte oder sonstigen Inhalte von Dritten.

8. Nutzung der Schnittstellen, Schlüssel und Kontingent

Sie greifen auf den Dienst entweder über eine Anmeldung in Ihrer Anwendung (Verfahren „OAuth“) oder über einen persönlichen API-Schlüssel zu. API-Schlüssel speichern wir nur als Hashwert; im Klartext sehen Sie einen Schlüssel nur einmal beim Erzeugen. Um Ihr Kontingent durchzusetzen, zählen wir Ihre Anfragen je Tag und insgesamt und speichern, wann ein Schlüssel zuletzt benutzt wurde.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Das Kontingent und seine Grenzen sind nach § 3 der Nutzungsbedingungen Inhalt des mit Ihnen geschlossenen Vertrags, und ohne die Zählung Ihrer Anfragen könnten wir diese vereinbarte Leistung nicht erbringen und begrenzen. Ergänzend stützen wir die Angabe, wann ein Schlüssel zuletzt benutzt wurde, auf Art. 6 Abs. 1 lit. f DSGVO (Schutz vor missbräuchlicher Nutzung). Diese Werte löschen wir, sobald Sie den jeweiligen Schlüssel widerrufen, spätestens aber mit der Löschung Ihres Kontos.

9. Inhalte Ihrer Anfragen, Analyse und Betriebsprotokolle

Beantwortung: Um Ihre Anfragen zu beantworten, verarbeiten wir deren Inhalt, etwa gesuchte Orte, Adressen, Haltestellen, Koordinaten, Start und Ziel einer Verbindung, Datum und Uhrzeit (Art. 6 Abs. 1 lit. b DSGVO).

Kein Training von KI-Modellen: Wir nutzen die Inhalte Ihrer Anfragen und unsere Antworten nicht, um KI-Modelle zu trainieren oder zu verfeinern, und geben sie hierfür auch nicht an Dritte weiter.

Angaben zu anderen Personen: Bitte geben Sie in Anfragen keine Angaben zu anderen Personen ein, insbesondere nicht deren Wohnadressen oder Standorte. Geben Sie dennoch Angaben zu anderen Personen ein, verarbeiten wir diese ausschließlich, um Ihre Anfrage zu beantworten, und löschen sie mit den übrigen Anfragedaten nach den in diesem Abschnitt genannten Fristen. Die Person, um die es dabei geht, können wir in aller Regel nicht selbst benachrichtigen, weil uns ihre Kontaktdaten nicht vorliegen (Art. 14 Abs. 5 lit. b DSGVO). Ob Sie solche Angaben über andere Personen eingeben dürfen, müssen Sie selbst beurteilen; dafür sind Sie verantwortlich, nicht wir.

Besonders geschützte Daten: Ziel- und Ortsangaben können im Einzelfall Rückschlüsse auf besonders geschützte Daten zulassen, etwa auf Gesundheit, Religion, Herkunft, politische Meinung oder sexuelle Orientierung (Art. 9 DSGVO). Wir erheben solche Daten nicht gezielt, werten entsprechende Rückschlüsse nicht aus und beschränken den Zugriff auf Anfragedaten auf die Beschäftigten, die ihn für Betrieb, Support und Sicherheit benötigen.

Analyse (30 Tage personenbezogen, danach zusammengefasst): Für den Betrieb des Dienstes, die Fehleranalyse und die Erkennung von Missbrauch speichern wir zu jeder Anfrage: Zeitpunkt, aufgerufene Funktion, Antwortzeit, Erfolg oder Fehler, Zahl der Ergebnisse, die aufgelösten Orte, Linien und Verbindungen sowie die Zuordnung zu Ihrem Zugang. Diese Verarbeitung ist erforderlich, um die vertraglich geschuldete Leistung zu erbringen und den Dienst sicher zu betreiben (Art. 6 Abs. 1 lit. b und lit. f DSGVO, auch im Hinblick auf Art. 32 DSGVO).

Nach 30 Tagen entfernen wir die Zuordnung zu Ihrem Zugang und fassen die Einzelanfragen zu Zählwerten je Stunde zusammen; keine einzelne Anfrage bleibt erhalten. Übrig bleibt höchstens die Art des Zugangs (z. B. „Demo-Zugang“). Öffentliche Orte wie Haltestellen, Sehenswürdigkeiten und Linien bleiben erhalten. Adressen und frei gewählte Koordinaten vergröbern wir auf ein Raster von etwa 0,7 km² ohne Straßennamen; Kombinationen, die im Monat weniger als fünfmal vorkommen, fassen wir zusammen.

Weiterentwicklung nur mit zusammengefassten Werten: Erst diese zusammengefassten Werte nutzen wir darüber hinaus, um den Dienst weiterzuentwickeln - also um Nutzungshäufigkeiten, Antwortzeiten und Fehlerquoten auszuwerten, Funktionen zu priorisieren und Fehler zu beheben. Die Inhalte Ihrer einzelnen Anfragen werten wir zu diesem Zweck nicht personenbezogen aus.

Nach unserer Bewertung lässt sich aus dieser Zusammenfassung mit Mitteln, deren Einsatz vernünftigerweise zu erwarten ist, nicht mehr auf Sie schließen. Lässt sich ein Bezug zu Ihrer Person im Einzelfall doch nicht sicher ausschließen, behandeln wir die betroffenen Daten weiterhin als personenbezogen. Wir stützen uns dann auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) und löschen die Daten, sobald wir sie für den Zweck, zu dem wir sie vorhalten, nicht mehr benötigen. Die zusammengefassten Zählwerte bewahren wir ohne feste Frist auf, solange sie keinen Personenbezug aufweisen.

Technische Protokolle (14 Tage): Unsere Dienste schreiben Betriebsprotokolle mit gekürzten Anfrage-Parametern (Koordinaten auf etwa 100 m gerundet, Texte gekürzt) und der Kennung Ihres Zugangs. Wir löschen sie nach 14 Tagen.

Überwachung der Serverlast: Unser Monitoring zählt Anfragen je Zugang. Wir betreiben es derzeit selbst auf den in Abschnitt 3 genannten Servern; Dritte erhalten diese Werte nicht. Es verwendet eine technische Kennung, nicht Ihren Namen oder Ihre E-Mail-Adresse, und bewahrt die Werte 90 Tage auf.

Rechtsgrundlage für die Protokolle und das Monitoring ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein stabiler und sicherer Dienst.

10. Sicherheitsprotokolle mit IP-Adressen

Zum Schutz vor unberechtigten Anmeldungen protokolliert unser Anmeldedienst Anmeldeereignisse (Zeitpunkt, Art des Ereignisses, Anwendung, Benutzerkennung, IP-Adresse, ggf. Fehlergrund). Wir löschen sie nach 30 Tagen. Unser Webserver protokolliert bei Fehlern IP-Adresse, aufgerufene Adresse, Browserkennung und Referrer; diese Einträge löschen wir nach 14 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

11. E-Mails

System-E-Mails zu Ihrem Konto - Bestätigung Ihrer Adresse, Passwort zurücksetzen, Verknüpfung von Anmeldewegen, Hinweise zum Kontingent, Ankündigung einer Löschung wegen Inaktivität, Änderungen der Nutzungsbedingungen - versenden wir über Google Workspace der Google Ireland Limited (Anschrift in Abschnitt 5) als Auftragsverarbeiter. Die Mails enthalten Ihre E-Mail-Adresse und Ihren Benutzernamen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Google Ireland Limited verarbeitet die Daten innerhalb der EU. Soweit Google Daten an die Google LLC in den USA übermittelt, stützt sich diese Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023; die Google LLC ist unter diesem Rahmen zertifiziert. Zusätzlich gelten die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), ein von der Kommission vorgegebener Vertragstext, der den Schutz Ihrer Daten auch dann sichert, wenn der Angemessenheitsbeschluss wegfallen sollte. Eine Kopie dieser Schutzvereinbarungen erhalten Sie auf Anfrage unter datenschutz@projektionisten.de.

Werbliche E-Mails, etwa Angebote für größere Anfragekontingente oder kostenpflichtige Schnittstellenverträge, senden wir Ihnen, wenn Sie hierin eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Als Nachweis speichern wir Zeitpunkt und Wortlaut Ihrer Einwilligung; diesen Nachweis bewahren wir auf, solange wir uns auf die Einwilligung stützen, und nach einem Widerruf noch so lange, wie daraus Ansprüche gegen uns erhoben werden können - das sind in der Regel drei Jahre, gerechnet ab dem Ende des Jahres, in dem der Widerruf zugegangen ist. Sie können die Einwilligung jederzeit widerrufen - über den Abmeldelink in jeder werblichen Mail oder per E-Mail an support@projektionisten.de. Was wir bis zu Ihrem Widerruf verarbeitet haben, bleibt rechtmäßig; Ihr Demo-Zugang besteht unverändert weiter.

Werbung für ähnliche eigene Leistungen: Haben wir Ihre E-Mail-Adresse im Zusammenhang mit einer kostenpflichtigen Leistung erhalten, dürfen wir Ihnen unter den Voraussetzungen des § 7 Abs. 3 UWG auch ohne Einwilligung Angebote für eigene, ähnliche Leistungen schicken. Wir stützen uns dabei auf unser berechtigtes Interesse an der Vermarktung eigener Leistungen (Art. 6 Abs. 1 lit. f DSGVO). Für den kostenlosen Demo-Zugang allein gilt das nicht. Sie können dieser Nutzung jederzeit widersprechen, ohne dass Ihnen dafür andere Kosten entstehen als die für die Übermittlung selbst, etwa Porto oder Verbindungsentgelt; auf dieses Widerspruchsrecht weisen wir Sie bei der Erhebung Ihrer Adresse und in jeder solchen Mail hin. Nach einem Widerspruch nutzen wir Ihre Adresse nicht mehr für Werbung und vermerken den Widerspruch, um ihn dauerhaft beachten zu können.

12. Einsicht durch Betrieb und Vertrieb

Unser Betriebs- und Vertriebsteam sieht in unserem Verwaltungssystem zu Ihrem Zugang: Benutzername, E-Mail-Adresse, Art des Zugangs, Zeitpunkt der Anlage und der letzten Nutzung sowie den Verbrauch. Das Verwaltungssystem betreiben wir derzeit selbst auf den in Abschnitt 3 genannten Servern.

Rechtsgrundlagen: Für den Support, den Sie anfragen, Art. 6 Abs. 1 lit. b DSGVO. Für die Missbrauchserkennung, die Planung der Serverkapazität und die Bewertung, welche Leistungen für Sie in Betracht kommen, Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind der Schutz des Dienstes vor missbräuchlicher Nutzung, ein bedarfsgerecht dimensionierter Betrieb und die Vermarktung unserer Leistungen.

Wie wir Sie auf Angebote ansprechen, richtet sich nach Abschnitt 11. Über neue Registrierungen informiert uns eine interne Benachrichtigung, die nur deren Anzahl enthält.

13. Weitergabe von Anfrage-Inhalten an Datenquellen

Einige Funktionen beantworten wir mit Daten externer Stellen. Dabei übermitteln wir nur die für die Abfrage nötigen Angaben. Ihre IP-Adresse, Ihre Kontodaten und Ihren API-Schlüssel geben wir nicht weiter. Die übermittelten Angaben enthalten keine Kennzeichen, mit denen die empfangende Stelle Sie oder Ihr Konto identifizieren könnte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Beantwortung Ihrer Anfrage). Fahrplan- und Routenberechnung, Ortssuche, Kartendaten, Kartenansichten, Streckenverläufe und Sehenswürdigkeiten aus OpenStreetMap berechnen und liefern wir auf eigenen Servern. Binden wir künftig weitere Datenquellen ein oder wechseln wir eine Quelle, aktualisieren wir diese Übersicht.

14. KI-Assistenten und Anwendungen Dritter

Nutzen Sie den Dienst über einen KI-Assistenten oder eine andere Anwendung eines Drittanbieters (z. B. Claude von Anthropic oder ChatGPT von OpenAI), verarbeitet dieser Anbieter Ihre Eingaben und unsere Antworten in eigener Verantwortung nach seinen Datenschutzbestimmungen. Wir erhalten nur die Anfragen, die die Anwendung an unsere Schnittstelle stellt, und haben auf die Verarbeitung beim Anbieter keinen Einfluss.

15. Datensicherung

Konto- und Zugangsdaten sichern wir regelmäßig und verschlüsselt auf einem getrennten Speicher bei Hetzner in Deutschland und bewahren jede Sicherung bis zu 30 Tage auf. Gelöschte Daten verschwinden deshalb spätestens 30 Tage nach der Löschung auch aus den Sicherungen. Auf Sicherungen greifen wir nur zur Wiederherstellung nach einem Ausfall zu. Wir stützen uns auf unser berechtigtes Interesse daran, dass der Dienst verfügbar bleibt und die Daten unverfälscht sind (Art. 6 Abs. 1 lit. f, Art. 32 DSGVO).

16. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um Ihre Daten vor Verlust, Missbrauch und unbefugtem Zugriff zu schützen, und passen sie fortlaufend an den Stand der Technik an. Dazu gehören insbesondere eine verschlüsselte Übertragung der Daten, die Speicherung von Passwörtern und API-Schlüsseln ausschließlich als Hashwert, verschlüsselte Datensicherungen und ein Berechtigungskonzept, das den Zugriff auf die Beschäftigten begrenzt, die ihn für ihre Aufgabe benötigen und die zur Vertraulichkeit verpflichtet sind.

Kommt es zu einer Datenpanne, gelangen also Daten unbeabsichtigt an Unbefugte oder gehen verloren, melden wir das der Aufsichtsbehörde. Sie selbst benachrichtigen wir, wenn die Panne für Sie voraussichtlich ein hohes Risiko bedeutet (Art. 33 und Art. 34 DSGVO).

17. Speicherdauer und Löschung Ihres Kontos

- Konto: bis Sie es löschen oder der Vertrag endet. Sie können Ihr Konto jederzeit im Portal „Mein Konto“ selbst löschen oder per E-Mail an support@projektionisten.de löschen lassen. Mit der Löschung entfernen wir Kontodaten, API-Schlüssel, Zähler und die Verknüpfung mit Google. Das gilt auch für die von Google übermittelten Kontodaten (Abschnitt 5).

- Inaktive Konten: Ein Konto, mit dem sich 24 Monate lang niemand angemeldet und keine Anfrage gestellt hat, löschen wir. Wir kündigen das 30 Tage vorher per E-Mail an.

- Nicht bestätigte Registrierungen: nach 7 Tagen.

- Einwilligungsnachweise: solange wir uns auf die Einwilligung stützen, nach einem Widerruf noch so lange, wie daraus Ansprüche gegen uns erhoben werden können - in der Regel drei Jahre ab dem Ende des Jahres, in dem der Widerruf zugegangen ist (Abschnitt 11).

- Änderungsprotokoll: Unser Verwaltungssystem protokolliert Änderungen an Zugängen und bewahrt diese Einträge 12 Monate auf. Nach der Löschung Ihres Kontos bleibt dort nur der Vorgang selbst stehen, als „gelöschtes Konto“ ohne Namen oder Kennung.

- Analyse, Protokolle, Sicherungen: wie in den Abschnitten 9, 10 und 15 beschrieben.

Müssen wir Daten nach dem Gesetz länger aufbewahren, etwa aus steuerlichen oder handelsrechtlichen Gründen, löschen wir sie erst nach Ablauf dieser Fristen.

18. Empfänger und Übermittlung in Länder außerhalb der EU - Überblick

Darüber hinaus geben wir Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind oder wenn wir sie brauchen, um eigene Rechtsansprüche durchzusetzen oder uns gegen Ansprüche zu verteidigen - etwa gegenüber Rechtsberatern oder Strafverfolgungsbehörden.

19. Ihre Rechte

Sie können von uns Auskunft darüber verlangen, welche Daten wir über Sie verarbeiten (Art. 15 DSGVO). Sie können falsche Daten berichtigen lassen (Art. 16) und die Löschung Ihrer Daten verlangen (Art. 17). Sie können verlangen, dass wir Daten vorerst nur noch speichern, statt sie weiter zu verwenden (Einschränkung der Verarbeitung, Art. 18). Sie können Ihre Daten in einem gängigen Dateiformat erhalten, um sie zu einem anderen Anbieter mitzunehmen (Datenübertragbarkeit, Art. 20). Und Sie können eine erteilte Einwilligung jederzeit widerrufen; was wir bis dahin verarbeitet haben, bleibt rechtmäßig (Art. 7 Abs. 3).

Das Recht auf Datenübertragbarkeit besteht nur für Daten, die wir auf Grundlage Ihrer Einwilligung oder zur Erfüllung des Vertrags automatisiert verarbeiten; das betrifft vor allem Ihre Kontodaten, nicht dagegen unsere Betriebsprotokolle, die wir auf unser berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO).

So üben Sie Ihre Rechte aus: Ihr Konto löschen und API-Schlüssel widerrufen können Sie direkt im Portal „Mein Konto“. Für alle anderen Anliegen schreiben Sie an datenschutz@projektionisten.de. Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang. Diese Frist können wir um weitere zwei Monate verlängern, wenn die Anfrage komplex ist oder viele Anfragen vorliegen; über eine Verlängerung und ihre Gründe unterrichten wir Sie innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Gegebenenfalls fragen wir nach, um sicherzustellen, dass die Anfrage wirklich von Ihnen stammt - etwa durch eine Antwort von der E-Mail-Adresse Ihres Kontos. Haben wir Daten berichtigt, gelöscht oder ihre Verarbeitung eingeschränkt, teilen wir dies allen Empfängern mit, denen wir die Daten offengelegt haben, es sei denn, das ist unmöglich oder nur mit unverhältnismäßig hohem Aufwand machbar (Art. 19 DSGVO).

Widerspruchsrecht (Art. 21 Abs. 1 DSGVO): Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (Abschnitte 3, 4, 5, 6, 8, 9, 10, 11, 12 und 15), können Sie dieser Verarbeitung jederzeit widersprechen, wenn Gründe in Ihrer persönlichen Lage dagegen sprechen; schildern Sie uns dafür bitte kurz, was in Ihrem Fall gegen die Verarbeitung spricht. Wir verarbeiten die Daten dann nicht mehr. Etwas anderes gilt nur, wenn wir nachweisen können, dass unsere Gründe für die Verarbeitung schwerer wiegen als Ihre Interessen, oder wenn wir die Daten brauchen, um Rechtsansprüche durchzusetzen oder uns gegen Ansprüche zu verteidigen. Einen Widerspruch richten Sie an datenschutz@projektionisten.de.

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Sie können der Verarbeitung Ihrer Daten zum Zweck der Direktwerbung jederzeit widersprechen, ohne dass es dafür einer Begründung bedarf. Nach Ihrem Widerspruch verarbeiten wir Ihre Daten nicht mehr für Werbezwecke. Der Widerspruch ist kostenfrei und formlos möglich, etwa per E-Mail an datenschutz@projektionisten.de.

Keine automatisierte Entscheidungsfindung: Wir treffen keine Entscheidungen über Sie, die allein ein Computer fällt und die für Sie rechtliche Folgen haben oder Sie in ähnlicher Weise erheblich beeinträchtigen. Dazu gehört auch, dass wir kein Profiling betreiben, also keine automatisierte Auswertung, um persönliche Merkmale von Ihnen zu bewerten oder vorherzusagen (Art. 22 Abs. 1 DSGVO). Die automatische Sperre weiterer Anfragen, sobald Ihr Kontingent aufgebraucht ist, setzt nur die vertraglich vereinbarte Obergrenze um; eine Entscheidung in diesem Sinne ist sie nicht.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat, in dem Sie üblicherweise leben, in dem Sie arbeiten oder in dem der vermutete Verstoß stattgefunden hat. Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, Telefon +49 511 120-4500, E-Mail poststelle@lfd.niedersachsen.de, www.lfd.niedersachsen.de.

20. Änderungen dieser Hinweise

Wir passen diese Hinweise an, wenn sich der Dienst oder die Rechtslage ändert. Die jeweils aktuelle Fassung steht unter https://www.projektionisten.de/mcp/mcp-datenschutz. Oben auf dieser Seite sehen Sie, um welche Fassung es sich handelt und seit wann sie gilt. Über wesentliche Änderungen informieren wir Kontoinhaber per E-Mail.