Datenschutzerklärung

2. Hosting und technische Bereitstellung

IDUWA und IDUWA Connect werden auf Servern eines Hosting-Anbieters betrieben. Beim Aufruf der Seiten werden technisch erforderliche Daten verarbeitet, damit die Website sicher, stabil und korrekt ausgeliefert werden kann.

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei
• Referrer-URL, sofern übermittelt
• Browsertyp, Browserversion und Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website. Für eine weisungsgebundene Verarbeitung durch Hosting-Dienstleister ist ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO erforderlich.

3. Datensicherheit

Unsere Seiten nutzen SSL- bzw. TLS-Verschlüsselung. Zusätzlich setzen wir technische und organisatorische Maßnahmen ein, um Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen. Für sicherheitsrelevante Vorgänge wie Login, Produktaktivierung oder PIN-Prüfung werden je nach Funktion CSRF-Schutz, Token, Hashing und Sperrmechanismen eingesetzt.

4. Nutzerkonto, Registrierung und Login

Für Registrierung, Anmeldung, Kontosicherheit und Produktverwaltung verarbeiten wir die von dir angegebenen Kontodaten und technische Sicherheitsdaten. Ohne die erforderliche E-Mail-Adresse, Konto-PIN und den jeweiligen Produktnachweis können die entsprechenden Kontofunktionen nicht bereitgestellt werden. Zusätzliche Profildaten sind freiwillig.

• Kontodaten: E-Mail-Adresse, interne Nutzer-ID, technische Konto-ID, Aktivierungsstatus, PIN-Hash und Registrierungszeitpunkt.
• Optionale Profildaten: Nickname, Vorname, Nachname und Telefonnummer.
• Bestätigungs- und Wiederherstellungsvorgänge: bisherige und gewünschte E-Mail-Adresse, ausstehende Adressänderung, Zweck und Hash eines Einmal-Tokens sowie Erstellungs-, Ablauf- und Verwendungszeitpunkt.
• Nachweis der Kenntnisnahme: Kennung des Datenschutzhinweises, Nutzerzuordnung, Zeitpunkt, IP-Adresse und Browserkennung (User-Agent).
• Gerätefreigaben: bei gewähltem „Angemeldet bleiben“ ein gehashter Gerätetoken, Nutzerzuordnung, Browserkennung, IP-Adressen bei Anlage und letzter Nutzung sowie Nutzungs-, Ablauf- und gegebenenfalls Widerrufszeitpunkte.
• Zwecke: Konto und Produkte bereitstellen, Berechtigungen prüfen, Zugang wiederherstellen und sicherheitsrelevante Kontoänderungen durchführen.
• Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für erforderliche Kontofunktionen und Art. 6 Abs. 1 lit. f DSGVO für Schutz, Missbrauchsabwehr und erforderliche Dokumentation. Berechtigtes Interesse ist der Schutz der Konten und ihrer Produktzuordnungen.

Konto-PINs werden nicht im Klartext in der Kontodatenbank gespeichert. Eine neue E-Mail-Adresse wird bei einer bestätigungspflichtigen Änderung zunächst vorgemerkt; bis zu ihrer Bestätigung bleibt die bisherige Adresse gültig. Bestätigungs- und Rücksetzlinks sind zweckgebunden und nur einmal nutzbar. Beim PIN-Wechsel oder bei einer Wiederherstellung können bestehende Sitzungen und Gerätefreigaben widerrufen werden.

Die Kenntnisnahme dieser Datenschutzerklärung ist keine pauschale Einwilligung in Werbung oder optionale Statistik-Cookies. Freiwillige Profildaten kannst du im Account bearbeiten oder entfernen.

5. Cookies und Sessions

Für Anmeldung, Formularschutz und ausdrücklich gewählte Funktionen verwenden wir Cookies, serverseitige Sessions und begrenzt auch den Sitzungsspeicher des Browsers. Davon zu unterscheiden ist die Besucherwiedererkennung für Profilstatistiken.

• PHP-Sitzung: Der Sitzungscookie ordnet den Browser einer serverseitigen Sitzung zu. Dort werden unter anderem Login-Status, Formularschutz und Anzeigezeiten für Versandpausen verarbeitet. Der Cookie ist grundsätzlich ein Sitzungscookie; die tatsächliche Sitzungsdauer hängt auch von Browser- und Servereinstellungen ab.
• CSRF-Token: Schutz vor unbefugten Formularanfragen. Der Token wird serverseitig der Sitzung zugeordnet und mit Formularanfragen übertragen; er ist kein zusätzlicher Werbe-Cookie.
• iduwa_pending_claim: zeitlich begrenzte Fortsetzung einer Produktaktivierung, soweit der jeweilige Aktivierungsvorgang diesen Cookie verwendet; bis zu etwa 24 Stunden.
• Aktivierungsticket im Link: Ein Produktnachweis kann stattdessen über einen zeitlich begrenzten Link fortgeführt werden. Dazu ist kein eigener Cookie mit dem Aktivierungskontext erforderlich. In der Datenbank liegt der Hash des zufälligen Ticketwerts.
• iduwa_claim_device: zufällige Gerätekennung zum Schutz vor automatisierten Codeversuchen; soweit eingesetzt bis zu 180 Tage.
• iduwa_td: Gerätefreigabe bei ausdrücklich gewähltem „Angemeldet bleiben“; etwa 30 Tage, bei Nutzung gegebenenfalls verlängert. Abmeldung oder ein sicherheitsbedingter Widerruf kann die Freigabe früher beenden.
• sessionStorage: Für die Fortsetzung einer noch nicht erfolgreich verarbeiteten Anfrage können Formular- und Anfragedaten kurzzeitig im Browser-Tab zwischengespeichert werden. Der Eintrag wird beim Abruf zur Wiederholung entfernt; der Sitzungsspeicher ist an den Tab bzw. die Browsersitzung gebunden.
• iduwa_profile_visitor: zufälliger Besucherwert für die interne Profilstatistik, mit einer Laufzeit von bis zu 365 Tagen. Diese statistische Wiedererkennung ist von der Anmeldung und der technischen Absicherung zu unterscheiden; Einzelheiten stehen in Abschnitt 11.

Für unbedingt erforderliche Zugriffe auf dein Endgerät, die einen ausdrücklich gewünschten Dienst ermöglichen, gilt die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG. Für darüber hinausgehende Speicherungen oder Zugriffe ist grundsätzlich eine vorherige Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Eine fehlende Werbeabsicht allein begründet keine Ausnahme.

Die anschließende Verarbeitung personenbezogener Daten richtet sich zusätzlich nach der jeweils genannten DSGVO-Rechtsgrundlage. Sicherheits-Cookies verwenden Secure-, HttpOnly- und SameSite-Einstellungen, soweit die jeweilige Funktion und die technische Bereitstellung dies unterstützen.

6. Produktaktivierung

Für die Zuordnung eines Produkts zu einem Konto werden Produktkennungen und der erforderliche Produktnachweis verarbeitet. Bei einer Registrierung mit Produkt kann der offene Aktivierungsvorgang bis zur E-Mail-Bestätigung mit dem Konto verbunden werden.

• Verarbeitete Daten: interne und öffentliche Produktkennung, Produkttyp, Codeprüfung, Aktivierungsstatus, Nutzerzuordnung, Ziel-E-Mail-Adresse, Vorgangsstatus sowie Erstellungs-, Prüfungs-, Ablauf-, Abschluss- und Abbruchzeitpunkte.
• Aktivierungsticket: Ein zufälliger Ticketwert wird im Link mitgeführt und in der Datenbank ausschließlich als SHA-256-Hash gespeichert. Bei ticketgestützten Vorgängen gilt grundsätzlich eine Frist von 48 Stunden.
• Fortsetzung: Ein erneuter geprüfter Produktnachweis kann einen älteren Vorgang ersetzen. Ein unveränderter, nur zeitlich abgelaufener Vorgang kann bei einer zulässigen Linkerneuerung erneut geprüft und verlängert werden; abgebrochene oder ersetzte Nachweise dürfen dadurch nicht wieder gültig werden.
• Sicherheitsdaten: Zähler für Code- oder Änderungsversuche, Versandanforderungen, Sperrzeitpunkte und pseudonymisierte Zuordnungen zu IP-Adresse, Gerät, E-Mail-Adresse, Konto, Token oder Produkt – abhängig vom jeweiligen Vorgang.
• Pseudonymisierung: Das aktuelle Rate-Limit-Verfahren verarbeitet IP-Adressen zur Bildung geheimer, schlüsselgestützter Hashwerte (HMAC). Es speichert dort keine IP-Adresse im Klartext. Solche Werte bleiben personenbezogen bzw. personenbeziehbar und sind nicht mit anonymen Daten gleichzusetzen. Andere Verarbeitungen, etwa Serverprotokolle oder Gerätefreigaben, können IP-Adressen gesondert verarbeiten.
• Zwecke und Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für angeforderte Produktzuordnungen; Art. 6 Abs. 1 lit. f DSGVO für Schutz vor unberechtigten Aktivierungen und automatisiertem Missbrauch.

Produkt-PINs und Aktivierungscodes werden serverseitig geprüft. Bei der gemeinsamen Bestätigung einer Registrierung werden Konto und Produkt nur zusammen freigeschaltet. Einmalcodes werden erst bei erfolgreicher Zuordnung verbraucht. Der Ablauf einer Linkgültigkeit ist nicht mit der Löschung des zugehörigen Datensatzes gleichzusetzen.

7. Öffentliche Profile und Sichtbarkeit

Je nach Produkt und gewähltem Profiltyp können Nutzer öffentliche Profilinformationen hinterlegen. Diese Daten werden angezeigt, wenn ein zugehöriger QR-Code oder Link aufgerufen wird und das Profil auf öffentlich gestellt ist.

• Keyfinder: Titel, Hinweistext, Kontaktname, Telefonnummer, WhatsApp-Nummer und gewählte Kontaktwege
• Dogfinder: Tiername, Tierart, Rasse, Merkmale, Hinweise, medizinische Hinweise, Kontaktname, Telefonnummer und WhatsApp-Nummer
• Produktstatus: Profiltyp, Sichtbarkeitsstatus und Zuordnung zum Produkt
• Zweck: Kontaktaufnahme durch Finder und Anzeige der vom Nutzer hinterlegten Informationen

Nutzer entscheiden selbst, welche Informationen sie hinterlegen und welche Kontaktwege angezeigt werden. Medizinische Hinweise oder ähnliche sensible Angaben sollten nur eingetragen werden, wenn sie für den Zweck wirklich erforderlich sind.

8. Freiwillige Standortübermittlung durch Finder

Bei bestimmten öffentlichen Profilen kann ein Finder freiwillig einen Fundort übermitteln. Die Standortfreigabe erfolgt über die Browserfunktion des verwendeten Geräts und nur, wenn der Finder diese aktiv erlaubt.

• Verarbeitete Daten: Breiten- und Längengrad, Genauigkeit, Produkt-ID, Profiltyp, Zeitpunkt, IP-Hash und User-Agent
• Zweck: Übermittlung eines Fundorts an den Produktbesitzer und Schutz vor mehrfacher Übermittlung
• Benachrichtigung: Bei aktivierter Benachrichtigung kann der Standort per E-Mail an den Produktbesitzer gesendet werden
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO für die freiwillige Standortfreigabe und Art. 6 Abs. 1 lit. f DSGVO für technische Schutzmaßnahmen

Zur besseren Auffindbarkeit kann in der Benachrichtigung ein Google-Maps-Link mit den übermittelten Koordinaten enthalten sein.

9. Uploads, Bilder und Dokumente

Nutzer können je nach Profiltyp Bilder oder Dokumente hochladen, zum Beispiel ein Hundebild, ein Schlüsselbild oder ein PDF-Dokument.

• Verarbeitete Daten: Datei, Dateipfad, Dateigröße, MIME-Type, ursprünglicher Dateiname, Produkt- und Nutzerzuordnung
• Speicherorte: Upload-Verzeichnisse innerhalb der IDUWA-Connect-Anwendung
• Zweck: Anzeige oder Verwaltung freiwillig hochgeladener Profil- und Produktinformationen
• Löschung: Beim Ersetzen einer Datei kann die vorherige Datei entfernt werden; weitere Löschungen erfolgen im Rahmen der Profil- oder Kontoverwaltung

Hochgeladene Bilder können Metadaten enthalten. Nutzer sollten nur Dateien hochladen, die für den jeweiligen Zweck geeignet sind.

10. E-Mail-Benachrichtigungen

Für angeforderte Konto- und Sicherheitsfunktionen sowie aktivierte Produktfunktionen verarbeiten wir E-Mail-Adressen und die jeweils erforderlichen Nachrichteninhalte.

• Aktivierung des Kontos und gegebenenfalls gemeinsame Produktzuordnung.
• Erneuter Aktivierungslink und Korrektur einer Adresse vor Abschluss der Registrierung.
• Link zum Zurücksetzen der Konto-PIN.
• Bestätigungslink an eine gewünschte neue E-Mail-Adresse und Sicherheitsinformation an die bisherige Adresse nach erfolgreicher Änderung.
• Scan- oder Fundortbenachrichtigungen, soweit diese Produktfunktion aktiviert ist.

Sicherheitslinks enthalten einen zufälligen Nachweis; in der Kontodatenbank wird nur sein Hash gespeichert. Ihre Gültigkeit ist begrenzt: Aktivierungslinks gelten im aktuellen Bestätigungsverfahren 24 Stunden, Links zur PIN-Wiederherstellung und E-Mail-Änderung grundsätzlich 30 Minuten. Die im jeweiligen Ablauf angegebene Frist ist maßgeblich. Neue Links können ältere ersetzen; Wartezeiten begrenzen missbräuchliche Anforderungen.

Verarbeitet werden insbesondere Empfängeradresse, Anlass, Sicherheitslink, Zeitpunkte und je nach Produktfunktion Produktkennungen oder freiwillig übermittelte Koordinaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für angeforderte Funktionen, Art. 6 Abs. 1 lit. f DSGVO für Sicherheitsinformationen sowie bei einer ausdrücklich gewählten freiwilligen Funktion die dafür erteilte Einwilligung. Diese funktionalen Nachrichten sind keine Newsletter-Einwilligung.

11. Interne Profilstatistiken

Bei öffentlichen Profilaufrufen führt die Anwendung eine interne Aktivitätsanzeige für den Produktbesitzer. Dazu können Profilaufrufe, Fundortmeldungen und Zeitpunkte gezählt werden. Für das Zusammenfassen wiederholter Aufrufe verwendet die derzeitige Besucherzählung den in Abschnitt 5 genannten Besucher-Cookie.

• Verarbeitete Daten: Nutzer- und Produktzuordnung, Profiltyp, Zählwerte, Zeitpunkte und pseudonyme Besucherwerte.
• Bildung des Besucherwerts: Der Zufallswert aus dem Cookie wird zusammen mit IP-Adresse, Browserkennung und einem 30-Minuten-Zeitfenster zu einem Hash verarbeitet. Die Ausgangsdaten werden dabei technisch verarbeitet; ein Hashwert ist nicht automatisch anonym.
• Zweck: Anzeige von Profilaktivitäten für den Produktbesitzer und Zusammenfassung wiederholter Aufrufe innerhalb eines Zeitfensters.
• Rechtliche Einordnung: Eine statistische Wiedererkennung über nicht unbedingt erforderliche Cookies erfordert grundsätzlich eine vorherige Einwilligung nach § 25 Abs. 1 TDDDG und eine passende DSGVO-Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO allein ersetzt eine erforderliche Cookie-Einwilligung nicht.

Die Zählung dient nicht der Ausspielung personalisierter Werbung. Sie ist dennoch eine Verarbeitung personenbezogener bzw. personenbeziehbarer Daten.

12. Externe Dienste und Links

Je nach Seite oder Funktion können externe Dienste oder ausgehende Links verwendet werden.

• WhatsApp: Bei Klick auf einen WhatsApp-Kontaktlink wird der Nutzer zu WhatsApp bzw. wa.me weitergeleitet.
• Google Maps: Bei Standortbenachrichtigungen kann ein Kartenlink mit Koordinaten enthalten sein.
• CDN-Ressourcen: Diese Datenschutzerklärungsseite lädt Bootstrap und Icons von cdn.jsdelivr.net. Dabei verbindet sich dein Browser unmittelbar mit dem externen Anbieter und übermittelt insbesondere deine IP-Adresse sowie technische Anfragedaten; abhängig von der Browsereinstellung auch einen Referrer. IDUWA Connect lädt seine zentralen Bibliotheken lokal. Für eine Bewertung externer Übermittlungen sind der tatsächliche Anbieter, seine Unterauftragnehmer und Verarbeitungsorte maßgeblich.
• Eigene Domains: Links zu iduwa.de oder connect.iduwa.de dienen der Navigation innerhalb unserer Angebote.

Beim Aufruf externer Dienste gelten zusätzlich die Datenschutzbedingungen des jeweiligen Anbieters.

13. Keine externen Werbe-Tracker

Für die hier beschriebenen Website- und Connect-Funktionen sind derzeit keine externen Werbe-Tracker wie Google Analytics oder Meta Pixel eingebunden. Eine interne, zweckgebundene Besucher- und Aktivitätszählung für öffentliche IDUWA-Profile kann wie oben beschrieben erfolgen.

14. Empfänger der Daten

Empfänger können die eingesetzten Hosting- und E-Mail-Dienstleister sowie berechtigte Personen sein, die Betrieb, Kontosicherheit oder Support bearbeiten. Öffentlich freigegebene Profildaten sind für Personen zugänglich, die den zugehörigen Link oder QR-Code aufrufen; sie können von diesen kopiert oder weitergegeben werden. Standortmeldungen und zugehörige Benachrichtigungen richten sich an den jeweiligen Produktbesitzer.

Eine Weitergabe erfolgt außerdem, soweit eine gesetzliche Pflicht besteht oder du einen externen Kontakt- bzw. Kartendienst aufrufst. Soweit Dienstleister weisungsgebunden personenbezogene Daten verarbeiten, ist ein Vertrag nach Art. 28 DSGVO erforderlich. Personenbezogene Daten werden nicht verkauft.

15. Speicherdauer und Löschung

Die Speicherdauer richtet sich nach dem Verarbeitungszweck. Daten sind zu löschen, sobald sie dafür nicht mehr benötigt werden und keine gesetzliche Pflicht oder sonstige tragfähige Rechtsgrundlage für eine weitere Speicherung besteht. Eine Gültigkeitsfrist begrenzt die Nutzung eines Links oder einer Freigabe, nicht automatisch die Datenaufbewahrung.

• Konto-, Profil- und Produktdaten: grundsätzlich für die Dauer des genutzten Kontos und der zugehörigen Funktionen. Nach Beendigung richtet sich eine weitere Speicherung insbesondere nach gesetzlichen Pflichten oder konkret erforderlicher Rechtsverfolgung. Löschung kann über info@iduwa.de angefragt werden.
• Offene Registrierungen: nur solange die begonnene Registrierung noch sinnvoll fortgesetzt werden kann oder ein konkreter Sicherheits- bzw. Nachweiszweck besteht. Eine nie bestätigte Registrierung erhält dadurch kein unbegrenztes Aufbewahrungsrecht.
• Aktivierungs- und Änderungsvorgänge: abhängig von der Funktion 24 Stunden für Aktivierungslinks, grundsätzlich 30 Minuten für PIN-Rücksetz- und E-Mail-Änderungslinks und regelmäßig 48 Stunden für Produktaktivierungstickets. Verwendete, ersetzte oder abgelaufene Nachweise berechtigen nicht mehr zur ursprünglichen Aktion; eine zulässige Fortsetzung eines unveränderten Vorgangs kann eine neue Prüfung und Frist erfordern.
• Vorgangs- und Sicherheitsnachweise: nur soweit sie zur Klärung offener Vorgänge, zur Bearbeitung konkreter Missbrauchsfälle oder zur erforderlichen Nachweisführung benötigt werden. Die weitere Aufbewahrung nach Abschluss ist gesondert zu begründen und auf das erforderliche Maß zu begrenzen.
• Rate-Limit-Daten: Versuchszähler, Versandanforderungen und Sperren haben je nach Funktion unterschiedliche Prüfzeiträume. Versandpausen können fünf Minuten betragen; weitere Sperren liegen abhängig von Funktion und Schutzebene beispielsweise bei zehn, fünfzehn, dreißig oder sechzig Minuten. Eine abgelaufene Sperre bedeutet nicht automatisch, dass der Zählerdatensatz gelöscht wurde.
• Cookies und Browser-Sitzungsspeicher: Laufzeiten siehe Abschnitt 5. Eine Löschung im Browser beendet nicht automatisch eine unabhängig davon erforderliche serverseitige Datenaufbewahrung.
• Serverprotokolle und Sicherungen: Aufbewahrung nach dem jeweiligen Betriebs- und Sicherheitszweck, der Erforderlichkeit einer Fehler- oder Angriffsklärung sowie gegebenenfalls gesetzlichen Pflichten. Eine Sicherung kann Daten bis zur vorgesehenen Überschreibung des jeweiligen Sicherungsstands enthalten.
• Freiwillige Profilinhalte und Dateien: im Rahmen der jeweiligen Profilverwaltung bearbeitbar oder entfernbar. Unabhängig davon bestehen die gesetzlichen Löschungsrechte unter den jeweiligen Voraussetzungen.

16. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen jederzeit das Recht:

• Auskunft über gespeicherte Daten zu erhalten (Art. 15 DSGVO)
• unrichtige Daten berichtigen zu lassen (Art. 16 DSGVO)
• die Löschung deiner Daten zu verlangen (Art. 17 DSGVO)
• die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• Datenübertragbarkeit zu verlangen (Art. 20 DSGVO)
• eine erteilte Einwilligung mit Wirkung für die Zukunft zu widerrufen, ohne dass dadurch die Rechtmäßigkeit der bisherigen Verarbeitung entfällt (Art. 7 Abs. 3 DSGVO)
• aus Gründen deiner besonderen Situation Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO einzulegen (Art. 21 DSGVO)

Für datenschutzbezogene Anfragen reicht eine E-Mail an info@iduwa.de.

17. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung personenbezogener Daten gegen die DSGVO verstößt.

18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen, technische Prozesse oder Inhalte unserer Angebote ändern.

Stand: 21. Oktober 2026