Verantwortlicher im Sinne der DSGVO ist:
Swen Hugowski (Einzelunternehmer)
IT-Hugo
Auf dem Kirchhof 12
37217 Witzenhausen
Deutschland
Telefon: 0160 92449605
E-Mail: datenschutz@it-hugo.de
Beim Besuch unserer Website verarbeiten wir technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte URL, Referrer, Browsertyp und Betriebssystem. Dies ist für Auslieferung, Fehleranalyse und Abwehr von Angriffen erforderlich.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Plattform. Sicherheits- und Zugriffsprotokolle werden im Regelfall nach 30 Tagen gelöscht, sofern ein konkreter Sicherheitsvorfall keine längere Aufbewahrung erfordert.
Schriftarten werden lokal beziehungsweise über Systemschriften bereitgestellt. Beim Seitenaufruf werden keine Google Fonts aus dem Browser nachgeladen.
Für Konto, Vertrag, Abrechnung, Sicherheit und die Bereitstellung gebuchter Dienste verarbeiten wir insbesondere E-Mail-Adresse, Name, Anschrift, Telefonnummer, Benutzername und vertragsbezogene Profildaten. Ein Geburtsdatum wird im regulären Registrierungsprozess nicht erhoben. Eigene Kundenkonten und kostenpflichtige Verträge setzen Volljährigkeit voraus; dies wird durch eine 18+-Bestätigung abgefragt. Eingeladene Nextcloud-Teamzugänge sind keine eigenen Kunden- oder Abrechnungskonten.
Während der geschlossenen Betaphase werden neue Konten nur durch IT-Hugo oder auf Einladung angelegt. Soweit die öffentliche Registrierung wieder freigeschaltet wird, erfolgt die Bestätigung der E-Mail-Adresse per Double-Opt-In.
AGB-Akzeptanz, Kenntnisnahme von Datenschutzinformationen und Widerrufsbelehrung sowie die 18+-Bestätigung werden getrennt erfasst. Zum Nachweis speichern wir Zeitpunkt, IP-Adresse, Browserkennung und die bestätigte Textversion. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.
Beim Abschluss eines AVV speichern wir Kundenkennung, Kontaktdaten, Zeitpunkt, angenommene Vertragsfassung und deren Prüfsumme. Bei kostenpflichtigen Buchungen speichern wir die bestätigten Leistungs- und Preisangaben. Dies dient der Vertragsdurchführung und dem Nachweis gemäß Art. 6 Abs. 1 lit. b, c und f DSGVO, nicht einer pauschalen Einwilligung.
Passwörter werden nur als kryptografische Hashwerte gespeichert. Verifikations- und Passwort-Reset-Token sind zeitlich begrenzt und werden nach Verwendung ungültig. System-E-Mails wie Bestätigungslinks, Sicherheitsmeldungen, Kündigungsbestätigungen und Rechnungen senden wir an die hinterlegte Adresse.
Bei einem Domain-Providerwechsel speichern wir Domain- und Kontozuordnung, Kontaktadresse, Antrag, Bestätigung, Textversion, Bearbeitungsstatus und Registrarprüfungen zur Vertragsdurchführung und zum Schutz vor unberechtigten Übertragungen (Art. 6 Abs. 1 lit. b und f DSGVO). Der einmalige E-Mail-Code gilt 24 Stunden; in der Prüftabelle liegt nur sein Hashwert, in der Versandwarteschlange ist der Nachrichteninhalt verschlüsselt und wird nach Versand entfernt. Freigegebene Auth-Codes werden verschlüsselt gespeichert, nur nach erneuter Sicherheitsprüfung angezeigt und bei Ablauf, Stoppwunsch oder Abschluss aus der Transferverwaltung entfernt. Der Stoppwunsch allein widerruft einen bereits beim Registrar aktiven Code noch nicht. Offene Vorgänge bleiben bis zur Klärung gespeichert; abgeschlossene Transferanträge werden drei Jahre nach Ablauf des Abschlussjahres aus der Transferverwaltung gelöscht. Für getrennte Vertragsnachweise, Support-Tickets und Sicherungen gelten die nachstehenden Fristen.
Für die öffentlich erreichbaren Funktionen „Vertrag widerrufen“ und „Verträge hier kündigen“ verarbeiten wir Name, Bestätigungskontakt, freiwillig angegebene Vertrags- oder Bestellreferenz, betroffenen Dienst sowie bei Kündigungen den gewünschten Zeitpunkt und gegebenenfalls den angegebenen Grund. Wir speichern die Erklärung mit Referenz, Eingangszeit und bestätigter Textversion und übermitteln unverzüglich eine Eingangsbestätigung per E-Mail; zusätzlich kann die Bestätigung direkt heruntergeladen werden. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.
Die Nachweise zu Widerrufs- und Kündigungserklärungen werden nur so lange aufbewahrt, wie dies für Vertragsabwicklung, gesetzliche Nachweise sowie die Geltendmachung oder Abwehr von Ansprüchen erforderlich ist. Danach werden sie gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Wir verwenden ausschließlich technisch notwendige Cookies und lokale Browser-Speicherung, für Sicherheitsfunktionen und ausdrücklich genutzte App-Funktionen. Nach der Anmeldung wird die Portal- bzw. Administratorsitzung in einem nur über HTTPS übertragenen, für JavaScript nicht lesbaren Cookie für höchstens 24 Stunden gespeichert. Beim Abmelden wird das jeweilige Cookie entfernt.
Die Speicherung beziehungsweise der Zugriff ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig, soweit dies für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Analyse-, Tracking- und Werbe-Cookies setzen wir nicht ein.
Der öffentliche Support-Chat greift erst nach Ihrem Öffnen auf den Sitzungsspeicher des Browsers (sessionStorage) zu. Die Kennung ordnet Nachrichten Ihrer Chatsitzung zu und wird nicht zu Werbezwecken verwendet. Bei gesperrtem Browserspeicher funktioniert der Chat mit einer vorübergehenden Kennung im Arbeitsspeicher. Beim bloßen Seitenaufruf wird keine Support-Kennung gelesen oder gespeichert.
Für Kartenzahlungen nutzen wir Stripe Payments Europe, Ltd., Dublin, Irland. Für PayPal-Zahlungen nutzen wir PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg. Die für die Zahlung erforderlichen Daten werden direkt an den gewählten Zahlungsdienst übermittelt. Vollständige Karten- oder PayPal-Zugangsdaten speichern wir nicht.
Stripe und PayPal verarbeiten Zahlungsdaten im Rahmen ihrer eigenen gesetzlichen und vertraglichen Pflichten. Rechtsgrundlage für die Übermittlung ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen finden Sie unter stripe.com/de/privacy und paypal.com/de/privacy.
Bei Banküberweisungen verarbeiten wir die Angaben aus dem Zahlungseingang, insbesondere Name, IBAN, Betrag, Buchungsdatum und Verwendungszweck. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Bei Nutzung von Nextcloud, Mail, Webhosting, DNS, Dynamic DNS, Bot-Hosting und Design Studio sowie bei freigegebenen GPU-VMs verarbeiten wir die für Bereitstellung, Konfiguration, Abrechnung, Sicherheit, Support und Löschung erforderlichen Daten. Die separate KI-API ist pausiert; ein eigenständiger Storage-Dienst wird derzeit nicht angeboten.
Für zusätzliche Nextcloud-Teamzugänge verarbeiten wir Name, E-Mail-Adresse, Teamzuordnung, Speicherzuteilung und Zugangsstatus. Der Paketinhaber veranlasst die Einladung und sieht diese Verwaltungsdaten. Er kann Speicher verteilen sowie Zugänge sperren oder ausdrücklich einschließlich ihrer Daten entfernen. Einladungslinks sind einmalig nutzbar und 48 Stunden gültig; das Passwort legt die eingeladene Person selbst fest. Andere Teammitglieder erhalten durch den Beitritt keinen automatischen Zugriff auf private Dateien. Für Vertrags- und Sicherheitszwecke gelten die in dieser Erklärung genannten Rechtsgrundlagen; soweit wir Team- und Inhaltsdaten im Auftrag verarbeiten, gilt die vereinbarte Auftragsverarbeitung. Der Paketinhaber muss Einladungen berechtigt veranlassen und betroffene Personen über die Nutzung und seine Verwaltungsrechte informieren.
Die Einladung enthält die E-Mail-Adresse des einladenden Paketinhabers. Einladungsdaten stammen von diesem, nicht aus einem öffentlichen Verzeichnis. Bei einer Teamnutzung ohne eigenen Vertrag mit der eingeladenen Person stützen wir unsere erforderliche Zugangs- und Sicherheitsverwaltung auf Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist die sichere Bereitstellung des vom Paketinhaber beauftragten Zugangs. Für Inhalte in dessen Verantwortlichkeit gelten seine Rechtsgrundlage und gegebenenfalls der AVV. Die Annahme einer Einladung wird nicht als Werbeeinwilligung oder pauschale Zustimmung zur Datenverarbeitung gewertet. Eine unberechtigte Einladung kann an datenschutz@it-hugo.de gemeldet werden.
Nach bestätigter Entfernung eines Teamzugangs werden dessen Name und E-Mail-Adresse nach 30 Tagen im regelmäßigen Bereinigungslauf aus der Teamverwaltung entfernt. Zur Verhinderung versehentlicher Wiederanlage bleibt eine technische Löschmarkierung ohne Name und Kontaktadresse bis zum Ende des Pakets erhalten. Bei einer noch nicht bestätigten Löschung bleiben die für die Wiederholung erforderlichen Daten gespeichert; solche Störungen werden überwacht. Abgelaufene, aber nicht entfernte Einladungen bleiben in der Verwaltung sichtbar, damit der Paketinhaber sie entfernen kann; sie erlauben nach 48 Stunden keinen Beitritt mehr. Einladungs-E-Mails in der Versandwarteschlange und Sicherungen unterliegen den gesondert genannten Löschfristen.
Je nach Dienst können dies Dateien, E-Mails, Website- und Datenbankinhalte, DNS-Einträge, technische Zugangsdaten, IP-Adressen, Hostnamen, Betriebssystem- und Ressourcenangaben, Verbrauchswerte sowie Supportinhalte sein. Geheimnisse wie Passwörter und Anbieter-Token werden nicht in der Kundenauskunft ausgegeben.
Für eigene Vertrags- und Abrechnungsdaten ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. Soweit Geschäftskunden personenbezogene Daten ihrer Nutzer über unsere Dienste verarbeiten, erfolgt die Verarbeitung nach dokumentierter Weisung auf Grundlage des im Portal bereitgestellten AVV gemäß Art. 28 DSGVO.
Der geplante Newsletter-Dienst ist nicht freigeschaltet. In der Vorschau erfassen wir keine Empfängerlisten, eigenen Kampagnen oder Newsletter-Anmeldungen und versenden keine Test- oder Werbe-E-Mails. Sie enthält nur feste Beispielinhalte. Ansichtswechsel werden nur vorübergehend im Browser gehalten und nicht als Kampagne gespeichert.
Beim Aufruf fallen weiterhin die unter Abschnitt 2 beschriebenen technischen Verbindungsdaten an. Im Kundenportal erfolgt außerdem die normale Anmeldung und Kontoverwaltung nach Abschnitt 3. Der Besuch ist weder eine Werbeeinwilligung noch die Anmeldung zu einem IT-Hugo Newsletter; es gibt keine Warteliste oder automatische Benachrichtigung zum Start.
Ein zusätzlicher Newsletter-Versandpartner ist noch nicht ausgewählt oder angebunden. Die Vorschau überträgt daher keine Newsletter-Empfängerdaten an einen solchen Anbieter. Vor Freigabe werden die tatsächlich eingesetzten Empfänger und Datenwege, Zwecke, Rechtsgrundlagen, Löschfristen, etwaige Drittlandübermittlungen und erforderlichen Auftragsverarbeitungsvereinbarungen festgelegt und erläutert.
Bei einer Domainprüfung verarbeiten wir die eingegebene Domain und technische Abfragedaten. Für eine verbindliche Registrierung verarbeiten wir zusätzlich die erforderlichen Inhaber-, Kontakt-, Auftrags-, Preis- und Statusdaten.
Zur technischen Registrierung übermitteln wir die erforderlichen Daten an TecSpace GmbH, Aachen, und an die jeweils zuständige Registry, bei .de-Domains insbesondere an die DENIC eG. Registrar und Registry verarbeiten Daten auch zur Erfüllung eigener vertraglicher und gesetzlicher Pflichten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO.
Welche Kontaktdaten eine Registry verlangt und ob Angaben in zulässigen Auskunftsdiensten erscheinen, richtet sich nach den Regeln der jeweiligen Endung. API-Zugangsdaten des Registrars werden ausschließlich serverseitig verarbeitet und niemals im Kundenportal angezeigt.
Der separate KI-API-Dienst ist seit 5. Oktober 2026 pausiert. Darüber werden keine neuen Modellaufträge an Anbieter übermittelt. Bisherige Nutzungs- und Abrechnungsdaten unterliegen weiterhin den unten erläuterten Aufbewahrungs- und Löschfristen. Die folgenden Anbieterinformationen gelten weiterhin für die interne KI-Verarbeitung in Bots und Design Studio.
IT-Hugo Modelle ist die Bezeichnung unseres Zugangs- und Abrechnungsangebots, nicht die Behauptung, dass IT-Hugo die Basismodelle selbst trainiert oder hostet. Für die interne KI-API, Bots einschließlich Support und Monitoring sowie das Design Studio binden wir OpenRouter, Inc. (USA) als technischen Dienstleister und dessen für EU-Routing freigegebene Modell- und Infrastrukturbetreiber ein. Die Modellkennung und der Preis werden im aktuellen Katalog ausgewiesen.
Zur Ausführung werden die eingegebenen Nachrichten, erforderlicher Gesprächskontext, lokale Tool-Ergebnisse und technische Auftragsparameter an den EU-Endpunkt von OpenRouter übermittelt. Portal-Passwörter, Zahlungsdaten und Kunden-E-Mail-Adressen werden nicht als Abrechnungskennungen an die KI-API angehängt. Personenbezogene Angaben, die Nutzer selbst in ihre Texte aufnehmen, können jedoch Bestandteil der Anfrage sein. Bitte beschränken Sie Eingaben auf erforderliche Daten und verwenden Sie anonymisierte Angaben, soweit möglich.
Für diese interne Anbindung erzwingen wir EU-Routing, deaktivierte Trainingsfreigaben und Zero Data Retention für dafür zugelassene Modell-Endpunkte. Ein automatischer Wechsel auf globale oder US-Endpunkte ist gesperrt. Zero Data Retention ist keine Zusage, dass bei IT-Hugo, Messengern oder anderen von Nutzern eingebundenen Tools überhaupt keine Daten gespeichert werden. Rechtsgrundlage für auftragsbezogene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO; für erforderliche Sicherheits- und Missbrauchsprüfung Art. 6 Abs. 1 lit. f DSGVO. Bei Daten Dritter muss der Verantwortliche eine passende Rechtsgrundlage sicherstellen.
Die regionale Zusage bezieht sich auf API-Inhalte wie Eingaben und Antworten. Konto-, Rechnungs-, Authentifizierungs- und Sicherheitsmetadaten bei OpenRouter können außerhalb der EU verarbeitet werden. OpenRouter ist ein US-Unternehmen; EU-Routing beseitigt nicht sämtliche Drittland- und Zugriffsrisiken. Maßgeblich sind der vereinbarte Auftragsverarbeitungsvertrag, die konkrete Unterauftragnehmerkette und, soweit erforderlich, geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln. Informationen zu OpenRouter: Datenschutz, DPA und EU-Routing. Eine pauschale DSGVO-Konformitätsgarantie für jeden Nutzungsfall wird nicht abgegeben.
Im Design Studio steht eine getrennte Bildanbindung an Google Cloud zur Verfügung. Vor der ersten Nutzung werden Anbieter, Speicherregeln und Beauftragung im Studio angezeigt und ausdrücklich bestätigt. Ohne diese Freigabe werden keine Bildaufträge an Google gesendet; eigene Fotos und die Textgestaltung bleiben nutzbar. Übertragen werden nur Motivbeschreibung und Bildparameter, keine Kontokennung, Zahlungsdaten, vollständigen Projekte oder hochgeladenen Fotos. Die ML-Verarbeitung bleibt am festen EU-Endpunkt; globale Ausweichrouten und Such-Grounding sind gesperrt. Verwenden Sie ausschließlich allgemeine Motive ohne personenbezogene oder vertrauliche Angaben. Technische Filter für erkennbare Kontaktdaten ersetzen keine vollständige Anonymisierung.
Dienstleister ist Google Cloud EMEA Limited, Irland; der Google Cloud-Auftragsverarbeitungszusatz wurde am 05.10.2026 angenommen. Normales Anfrage-/Antwortlogging und Projektcache sind deaktiviert; Modelltraining mit Kundeninhalten ist nicht freigegeben. Bei Missbrauchsverdacht kann Google Eingaben bis zu 90 Tage in der gewählten Region oder Multiregion speichern und durch berechtigte Mitarbeiter prüfen. Eine Ausnahme ist nicht vereinbart. Die OpenRouter-Zusage zu Zero Data Retention gilt nicht für Google. Konto-, Sicherheits-, Authentifizierungs- und Supportprozesse sind nicht pauschal auf die EU begrenzt. Für erfasste US-Übermittlungen verweist Google auf das EU-US Data Privacy Framework; für sonstige beschränkte Weiterübermittlungen greifen die im DPA vorgesehenen Standardvertragsklauseln, soweit anwendbar. Informationen: DPA, Unterauftragnehmer, Transfergarantien und Missbrauchsprüfung. Die Funktion ist nicht für sensible Daten, Berufsgeheimnisse oder eine vereinbarte vollständige Speicherfreiheit bestimmt. Rechtsgrundlagen für unsere erforderliche Leistungs- und Sicherheitsverarbeitung sind Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO; Auftragsdaten werden nach Weisung und AVV verarbeitet.
Die Freigabe oder Abschaltung der Google-Bildfunktion speichern wir mit Konto-ID, Zeitpunkt, Textfassung und Prüfsumme sowie dem bestätigten Hinweistext. Zusätzliche IP-Adressen, Gerätekennungen oder E-Mail-Adressen erfassen wir dafür nicht. Sie können die Entscheidungen im Studio herunterladen; sie sind auch im Kontodatenexport enthalten. Neue Bildaufträge lassen sich jederzeit abschalten. Die Nachweise bleiben während des Kontobestands erhalten; bei Kontolöschung wird die Kontozuordnung entfernt und der verbleibende verwaiste Bildfreigabe-Datensatz im nächsten täglichen Bereinigungslauf gelöscht. Laufende oder bereits an Google übertragene Aufträge lassen sich durch Abschalten nicht rückwirkend zurückholen. Für Auskunft oder Löschung möglicher Anbieterprotokolle kontaktieren Sie uns; wir bearbeiten die Anfrage mit Google nach den vereinbarten Verfahren.
IT-Hugo speichert für Kostenschutz und Abrechnung einen technischen Vorgangsbezug, Modellkennung, reservierte und abgerechnete Kosten, Status und Zeitpunkt. Diese Kostendatensätze enthalten keine Prompts oder Antworten. Ungeklärte Aufträge bleiben zur Vermeidung doppelter Kosten bis zur Klärung reserviert. Technische Einzelvorgänge werden im Regelbetrieb nach 30 Tagen gelöscht; erforderliche aggregierte Kostenstände und gesetzlich aufzubewahrende Abrechnungsnachweise bleiben erhalten.
Das Design Studio verarbeitet eingegebene Prompts, ausgewählte Modelle, generierte Inhalte sowie freiwillig hochgeladene Fotos, Logos und Dateinamen. Uploads werden in ein komprimiertes Bildformat umgewandelt; eingebettete Metadaten werden dabei entfernt. Gespeicherte Entwürfe einschließlich HTML-Snapshot, zugehöriger Bilder und der letzten 20 Versionen bleiben bis zur Löschung durch den Nutzer oder bis zur Kontolöschung erhalten. Gelöschte Entwürfe werden im täglichen Bereinigungslauf nach 29 Tagen endgültig entfernt, im Regelbetrieb damit innerhalb von 30 Tagen. Abgeschlossene technische Auftragsdatensätze zur Kostenreservierung werden ebenfalls im Regelbetrieb innerhalb von 30 Tagen entfernt; Abrechnungsbelege unterliegen den gesondert genannten Aufbewahrungsfristen. Störungen werden überwacht und nachbearbeitet.
Vom Design Studio erzeugte oder hochgeladene Bilder werden über eine zufällige, nicht öffentlich aufgelistete Bildadresse in die Vorschau eingebunden. Wer diese Adresse erhält, kann das Bild abrufen; sie ist kein passwortgeschützter Dateispeicher. Bildantworten werden nicht zur dauerhaften Browser-Zwischenspeicherung freigegeben. HTML- und ZIP-Downloads enthalten die Bilder direkt und benötigen dafür keine spätere Verbindung zu IT-Hugo. Mit der endgültigen Löschung des Bildes oder Entwurfs ist die Datei an der ursprünglichen Bildadresse nicht mehr abrufbar. Bereits heruntergeladene, exportierte oder von Empfängern gespeicherte Kopien liegen außerhalb der Kontrolle von IT-Hugo. Nutzer dürfen deshalb keine sensiblen oder personenbezogenen Daten in Bilder oder Prompts aufnehmen, die zur Veröffentlichung bestimmt sind, sofern dafür keine tragfähige Rechtsgrundlage besteht.
Bot-Chats werden im Portal-Webchat standardmäßig nicht dauerhaft in der Plattformdatenbank gespeichert. Für zusammenhängende Antworten wird ein vorübergehender Sitzungskontext verarbeitet. Bei Telegram, Discord oder anderen angebundenen Plattformen gelten zusätzlich die Datenschutz- und Speicherregeln des jeweiligen Plattformanbieters.
Der Support-Chat wird vor Beginn und während der Nutzung sichtbar als KI-Assistent gekennzeichnet. Nutzer werden damit klar darauf hingewiesen, dass Antworten automatisiert durch ein KI-System erzeugt werden; entsprechende Antworten tragen zusätzlich eine technische KI-Kennzeichnung.
Der IT-Hugo Support-Bot ist auf Hilfe zu IT-Hugo Diensten beschränkt. Er erhält keinen Zugriff auf Passwörter, vollständige API-Schlüssel, fremde Konten oder nicht freigegebene Kundendaten. Bei individuellen Kontofragen verweist er auf das geschützte Ticketsystem.
Neue Bild-, Video- und Embedding-Aufträge sind über OpenRouter EU aktuell nicht freigegeben. Das Design Studio bietet separat die oben erläuterte optionale Google-EU-Bildfunktion sowie eigene Bilder. Die nachfolgenden Medienfristen gelten für frühere Bot-/API-Aufträge und Dateien, nicht für gespeicherte Studio-Projekte; sie stellen keine Zusage aktuell verfügbarer Bot-/API-Medienerzeugung dar.
Bei der Bild- und Videogenerierung verarbeiten wir Prompt, Modell, Ausgabedatei, Laufzeit, Preis und technischen Jobstatus. Bilder im Portal-Webchat werden nach 15 Minuten entfernt. Fertige Videodateien sind höchstens 24 Stunden abrufbar und werden im anschließenden stündlichen Bereinigungslauf gelöscht. Technische Störungen können die physische Löschung verzögern; der Download bleibt nach Ablauf der Abruffrist gesperrt. Die für Abrechnung, Missbrauchsschutz und Fehlernachweis erforderlichen Video-Jobmetadaten einschließlich Prompt werden spätestens 30 Tage nach Ablauf der Datei gelöscht.
Bei aktivierter Spracherkennung werden Sprachnachrichten über einen internen, selbst betriebenen Speech-to-Text-Dienst transkribiert. Temporäre Audiodateien werden unmittelbar nach der Verarbeitung gelöscht. Der Text kann anschließend wie eine normale Nachricht im vorübergehenden Bot-Kontext verarbeitet werden.
Bei aktivierter interner Sprachausgabe wird die Antwort auf unserer Infrastruktur in eine Audiodatei umgewandelt. Temporäre Dateien werden nach der Übermittlung gelöscht. Eine dauerhafte Audioaufzeichnung ist standardmäßig deaktiviert.
Der gesonderte Telefonassistent befindet sich weiterhin in der geschlossenen Vorbereitung und ist nicht öffentlich bestellbar. Vor einer produktiven Freigabe werden Nutzer gesondert über Gesprächsablauf, Rechtsgrundlage, Empfänger und etwaige Speicherfristen informiert.
Bei BYOK wählt der Nutzer den externen KI- oder Tool-Anbieter selbst und hinterlegt einen eigenen Zugang. IT-Hugo stellt die technische Verbindung bereit; Inhalte werden zur Ausführung an den gewählten Anbieter übermittelt. Für dessen Verarbeitung gelten dessen Vertrags- und Datenschutzbedingungen.
Vor dem Einsatz muss der Nutzer prüfen, ob der Anbieter für seinen Zweck, seine Datenarten und seine Rechtsgrundlage geeignet ist. Je nach Anbieter kann eine Übermittlung außerhalb der EU/des EWR stattfinden. Erforderlich sind dann insbesondere ein Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln und gegebenenfalls ergänzende Schutzmaßnahmen.
Bei Bots auf externen Kommunikationsplattformen werden Nachrichten technisch über die jeweilige Plattform übertragen. Nutzer dürfen darüber keine besonderen Kategorien personenbezogener Daten oder Geheimnisse verarbeiten, wenn hierfür keine tragfähige Rechtsgrundlage und kein geeigneter Schutz besteht.
Als Auftragsverarbeiter für Plattform-, Hosting- und Backupdienste setzen wir – je nach gebuchtem Dienst – insbesondere netcup GmbH, OpenRouter, Inc. (USA), Google Cloud EMEA Limited für die freigegebene Studio-Bildfunktion, Amazon Web Services EMEA SARL, Hetzner Online GmbH und centron GmbH ein. Die konkret eingesetzten Unterauftragsverarbeiter sind im AVV aufgeführt.
Die öffentliche Website und das Kundenportal laufen auf der IT-Hugo-Plattform bei netcup (Deutschland). Dort betreiben wir auch das reguläre Web- und Mailhosting. Übernommene Volkshost-Bestandswebsites können auf ihrem bisherigen Server bei WIIT / webtropia (Deutschland) verbleiben. Freigeschaltete GPU-VMs werden über centron (Deutschland) bereitgestellt. Der Sitz einer Vertragspartei ist vom tatsächlichen Verarbeitungsort zu unterscheiden.
Nextcloud-Produktivserver stehen bei netcup in Deutschland. Der primäre Nextcloud-Dateispeicher liegt auf einer Hetzner StorageBox in Falkenstein (Deutschland). Verschlüsselte Restic-Sicherungen werden getrennt auf einer Hetzner Backup-StorageBox in Falkenstein sowie im S3-kompatiblen Hetzner Object Storage in Helsinki (Finnland, EU) gespeichert. S3 bezeichnet hier das technische Protokoll, nicht Amazon als Backup-Anbieter. AWS wird für die Schlüsselverwaltung zur Entsperrung des internen Secret-Tresors genutzt, nicht für diese Datensicherungen oder direkte KI-Inferenz.
Stripe, PayPal, TecSpace, die jeweils zuständige Domain-Registry und die Zertifizierungsstelle Let’s Encrypt / ISRG erhalten nur die für Zahlung, Domainregistrierung oder Zertifikatsausstellung erforderlichen Daten. Diese Empfänger handeln für ihre eigenen gesetzlichen oder vertraglichen Aufgaben nicht durchgängig als Unterauftragsverarbeiter von IT-Hugo.
Soweit ein Dienst ausnahmsweise Zugriffe aus einem Drittland ermöglichen kann, stützen wir dies auf die Voraussetzungen der Art. 44 ff. DSGVO, insbesondere Angemessenheitsbeschlüsse oder EU-Standardvertragsklauseln, und prüfen erforderliche ergänzende Maßnahmen.
Die Seite Tools & Downloads bindet URLWACHE nicht als Drittinhalt ein, sondern verlinkt das eigenständige Online-Tool. Erst beim Öffnen des Links wird die Zielseite aufgerufen. Dort gelten die auf URLWACHE veröffentlichten Datenschutzhinweise. Allgemeine technische Verbindungsdaten beim Besuch unserer Seite sind in Abschnitt 2 beschrieben.
Der Vorschlagsassistent hält Eingaben nur vorübergehend in der geöffneten Seite, ohne sie durch unsere Anwendung in localStorage, sessionStorage oder Cookies zu speichern. Es gibt keinen automatischen Formularversand und keine Übertragung der Eingaben an unseren Server. Nach deiner ausdrücklichen Auswahl werden die Angaben an dein E-Mail-Programm übergeben oder in die Zwischenablage kopiert. Für dein E-Mail-Programm bzw. deinen Mailanbieter gelten dessen eigene Datenverarbeitungsregeln. Erst durch dein Absenden im Mailprogramm erhalten wir eine Nachricht. Die Verarbeitung und Löschung dieser freiwilligen Rückmeldungen erfolgt wie bei den nachfolgend beschriebenen E-Mail-Anfragen. Eine Rückmeldung ist keine Voraussetzung für die Nutzung der kostenlosen Tools.
Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Adresse, den Inhalt, mitgesendete Anhänge und technische Zustelldaten zur Bearbeitung. Bei Vertrags- und vorvertraglichen Anfragen gilt Art. 6 Abs. 1 Buchst. b DSGVO; sonst ist unser berechtigtes Interesse die Beantwortung Ihrer Anfrage (Buchst. f). Support- und Datenschutzanfragen bearbeiten wir ausschließlich bei IT-Hugo; es erfolgt keine Weiterleitung dieser Funktionspostfächer an ein privates Gmail-Konto. Reine Anfragen löschen wir nach Abschluss, sobald kein weiterer Klärungsbedarf besteht. Für Geschäftsbriefe, Ansprüche und Rechnungen gelten die jeweils einschlägigen Aufbewahrungsgründe und Fristen.
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Vertrags-, Steuer- und Rechnungsunterlagen werden je nach Dokumentart für 6, 8 oder 10 Jahre nach den handels- und steuerrechtlichen Vorgaben aufbewahrt.
Typische betriebliche Fristen sind:
– Sicherheits- und Zugriffslogs: regelmäßig 30 Tage
– Design-Studio-Entwürfe: bis zur Löschung; endgültige Entfernung spätestens nach 30 Tagen
– geschlossene Support-Tickets: regelmäßig 3 Jahre nach Abschluss
– Portal-Webchat-Bilder: 15 Minuten
– fertige Videodateien: 24 Stunden abrufbar, anschließender stündlicher Löschlauf; Video-Jobmetadaten: im Regelbetrieb innerhalb weiterer 30 Tage
– temporäre Sprachdateien: Löschung unmittelbar nach Verarbeitung
– Guthabensperren bei Webhosting, kostenpflichtigen Postfächern und Nextcloud: mindestens 30 Tage zur Sicherung; offene Übergaben und gesetzliche Abruffristen werden vor der Löschung geprüft. Für Bots gelten gesonderte Tarifbedingungen.
Produktivdaten werden bei Kontolöschung grundsätzlich innerhalb von 30 Tagen entfernt, soweit keine gesetzliche Aufbewahrungspflicht besteht. Verschlüsselte Backups laufen kontrolliert aus ihrer Rotation aus. Kleine Sicherungen werden alle drei Stunden erstellt und nach täglichen, wöchentlichen und monatlichen Generationen rotiert; Vollsicherungen werden täglich erstellt und als letzte, tägliche, wöchentliche und monatliche Generationen aufbewahrt. Backups werden nur zur Wiederherstellung nach einem Ausfall verwendet. Bei einer Wiederherstellung werden bereits wirksame Löschungen erneut angewendet.
Sie haben insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Außerdem können Sie eine erteilte Einwilligung mit Wirkung für die Zukunft widerrufen und sich bei einer Datenschutzaufsichtsbehörde beschweren.
Soweit wir auf Grundlage berechtigter Interessen verarbeiten, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Einer Verarbeitung für Direktwerbung können Sie jederzeit ohne Begründung widersprechen; anschließend werden Ihre Daten nicht mehr für diesen Zweck verwendet. Der Widerruf einer Einwilligung berührt die Rechtmäßigkeit der Verarbeitung bis zum Widerruf nicht.
Im eingeloggten Kundenkonto können Sie nach erneuter Passwortbestätigung eine strukturierte Datenauskunft als JSON-Datei herunterladen. Die Auskunft umfasst Konto-, Vertrags-, Verbrauchs- und Dienstdaten, nicht jedoch Passwörter, vollständige API-Schlüssel oder interne Sicherheitsgeheimnisse.
Für Datenschutzanfragen erreichen Sie uns unter datenschutz@it-hugo.de.
Zum Schutz des öffentlichen Meldeformulars vor automatisierten Masseneinsendungen verwenden wir eine kurzlebige Formularfreigabe, technische Plausibilitätsprüfungen, Mengenbegrenzungen und einen Abgleich doppelter Einsendungen. Dafür verarbeiten wir die Verbindungs-IP-Adresse sowie, soweit angegeben, die E-Mail-Adresse und Meldungsangaben zu zweckgebundenen, mit einem geheimen Schlüssel gebildeten Prüfwerten. In den zusätzlichen Schutzdatensätzen speichern wir diese Prüfwerte, Zähler, Zeitpunkte und gegebenenfalls die Vorgangsreferenz, nicht die IP-Adresse oder Meldungstexte im Klartext. Die Schutzdatensätze gelten höchstens 24 Stunden und werden im stündlichen Löschlauf entfernt, im Regelbetrieb spätestens nach 25 Stunden; allgemeine Sicherheitslogs und Sicherungen unterliegen den gesondert genannten Fristen. Die Formularfreigabe bleibt nur im Arbeitsspeicher der geöffneten Seite. Wir verwenden hierfür keinen externen Captcha-Dienst und keine zusätzlichen Tracking-Cookies. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Schutz des Meldeverfahrens, der Empfänger und der Infrastruktur vor Missbrauch. Diese technischen Prüfungen entscheiden nicht über die Rechtmäßigkeit eines gemeldeten Inhalts. Bei Schwierigkeiten ist eine Meldung an admin@it-hugo.de möglich.
Für Inhaltsmeldungen speichern wir Fundstelle, Begründung, gegebenenfalls Name und E-Mail-Adresse, die Bestätigung nach bestem Wissen, Eingangszeit und unsere Entscheidung. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 DSA sowie lit. f für die Abwehr von Missbrauch und Rechtsansprüchen. Eine gesetzlich vorgesehene Ausnahme von der Namens- und E-Mail-Angabe ist im Formular auswählbar.
Zugriff erhalten die zuständigen Mitarbeitenden. Betroffene Kunden erhalten erforderliche Informationen zu einer Einschränkung, grundsätzlich ohne Identität des Meldenden. Abgeschlossene Meldungen werden im täglichen Löschlauf drei Jahre nach Abschluss entfernt, sofern kein dokumentierter Rechtsstreit eine längere Aufbewahrung erfordert. Offene Vorgänge werden bis zur Klärung aufbewahrt und auf Erforderlichkeit überprüft.
Bestätigungs-E-Mails werden bei Versandfehlern erneut versucht. Kopien in dieser Versandwarteschlange werden im Regelbetrieb innerhalb von 30 Tagen nach erfolgreichem Versand gelöscht. Davon getrennte Vertrags- und Buchungsnachweise unterliegen den oben beschriebenen Fristen.
Zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Wilhelmstraße 7, 65185 Wiesbaden; Postanschrift: Postfach 3163, 65021 Wiesbaden. Sie können sich nach Art. 77 DSGVO auch an eine andere zuständige Aufsichtsbehörde wenden.