Datenschutzerklärung

Kavoma, Inhaber Artjom Kaufmann
Wehinger Weg 10
78583 Böttingen
E-Mail: [email protected]
Telefon: +49 1575 2985185

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Bei Fragen zum Datenschutz schreiben Sie uns einfach an die oben genannte Adresse.

Das Kavoma-Kundenportal ist kein öffentlicher Dienst: Konten gibt es nur auf Einladung, für Kundinnen und Kunden, mit denen wir an einem Projekt arbeiten, und für unser Team. Wir verarbeiten nur die Daten, die für diese Zusammenarbeit nötig sind.

• Kein Tracking, keine Analyse-Tools, keine Werbung.
• Datenbank und Anmeldung betreiben wir selbst auf unserem Server in Deutschland.
• Wir verkaufen keine Daten und geben sie nur an die unten genannten Dienstleister weiter.

Das Portal läuft auf einem Server der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, im Rechenzentrum in Nürnberg (Deutschland). netcup stellt nur den Server bereit; auf die Inhalte greift netcup nicht zu.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO) sowie die Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO).

Bei jedem Aufruf des Portals protokolliert der Server automatisch:

• IP-Adresse, Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und HTTP-Statuscode
• Browser und Betriebssystem (User-Agent)

Wir brauchen diese Daten, um Fehler zu finden und Angriffe abzuwehren. Zum Schutz vor Passwort-Raten und Missbrauch zählen wir außerdem fehlgeschlagene Anmeldeversuche und Anfragen je E-Mail-Adresse, Konto bzw. IP-Adresse. Gespeichert wird dabei nur ein Prüfwert (Hash), nicht die Adresse selbst; die Zähler werden spätestens nach einem Tag gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Logfiles löschen wir, sobald wir sie für diese Zwecke nicht mehr brauchen.

Für Datenbank, Anmeldung und Dateiablage nutzen wir die Open-Source-Software Supabase. Wir betreiben sie vollständig selbst auf unserem eigenen Server bei netcup – es werden dabei keine Daten an die Supabase Inc. oder andere Anbieter übermittelt.

Gespeichert werden Ihr Name, Ihre E-Mail-Adresse, optional Ihre Telefonnummer und Ihre bevorzugte Anrede sowie Ihr Passwort (nur verschlüsselt als Hash). Teammitglieder melden sich zusätzlich mit einem zweiten Faktor (Authenticator-App) an. Dateien liegen in nicht öffentlichen Speicherbereichen und sind nur über zeitlich begrenzte Links abrufbar.

Wir setzen ausschließlich technisch notwendige Cookies:

• Anmelde-Cookies („sb-…“): halten Sie nach dem Login angemeldet. Sie enden mit der Abmeldung bzw. laufen automatisch ab.
• Kundenansicht („kavoma_view_as“, nur für unser Team): erlaubt uns, das Portal so zu sehen, wie Sie es sehen – nur lesend, höchstens 30 Minuten.

Ob Sie das helle oder dunkle Design gewählt haben, merkt sich Ihr Browser lokal; diese Angabe wird nicht an uns übertragen.

Da diese Speicherungen für den von Ihnen gewünschten Dienst unbedingt erforderlich sind, ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Deshalb gibt es auch kein Cookie-Banner.

Im Portal verarbeiten wir die Daten, die für die Zusammenarbeit an Ihrem Projekt nötig sind. Rechtsgrundlage ist jeweils die Durchführung unseres Vertrags bzw. vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Sind Sie Mitarbeiterin oder Mitarbeiter eines Kunden, stützen wir uns auf unser berechtigtes Interesse an der Zusammenarbeit mit Ihrem Unternehmen (Art. 6 Abs. 1 lit. f DSGVO).

• Projekte und Updates: Status, Meilensteine und Neuigkeiten, damit Sie den Fortschritt verfolgen können.
• Nachrichten und Tickets: Ihre Anfragen, unsere Antworten und angehängte Dateien, damit wir Fragen und Probleme bearbeiten können.
• Dateien und Checkliste: Inhalte, Bilder und Angaben, die Sie für Ihr Projekt bereitstellen.
• Rechnungen: Rechnungsdokumente mit Rechnungsdaten, sichtbar nur für Hauptkontakte. Hier gilt zusätzlich unsere gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO).
• Aktivitäts-Protokoll: wer wann wichtige Aktionen ausgeführt hat (z. B. Einladung, Löschung), zur Nachvollziehbarkeit und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

Zugriff haben nur Sie, die Personen Ihres Unternehmens im Portal (je nach Rolle) und die Mitglieder unseres Teams, die für Ihr Projekt zuständig sind.

Einladungen, Login-Mails und Benachrichtigungen (z. B. neue Nachricht, neue Rechnung) verschicken wir von der Adresse [email protected] über Microsoft 365 (Schnittstelle Microsoft Graph). Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Dabei verarbeitet Microsoft Ihren Namen, Ihre E-Mail-Adresse und den Inhalt der Mail. Auch unser übriger E-Mail-Verkehr läuft über Microsoft 365.

Microsoft verarbeitet Daten grundsätzlich in der EU, ein Zugriff aus den USA ist jedoch nicht ausgeschlossen. Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert; damit liegt ein Angemessenheitsbeschluss der EU-Kommission vor (Art. 45 DSGVO).

Anmeldung des Teams mit Microsoft: Mitarbeitende von Kavoma können sich mit ihrem Microsoft-Konto (Microsoft Entra ID) anmelden. Dabei übermittelt Microsoft uns Name, E-Mail-Adresse und eine Kennung des Kontos; die Zwei-Faktor-Anmeldung übernimmt in diesem Fall Microsoft. Kunden melden sich nicht über Microsoft an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. § 26 BDSG (Beschäftigungsverhältnis).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. lit. f (berechtigtes Interesse an schneller Information). Benachrichtigungen können Sie jederzeit im Portal unter Konto → Benachrichtigungen oder über den Abmelde-Link in jeder Benachrichtigung abbestellen. Mails zu Ihrem Konto (Einladung, Passwort) sind davon ausgenommen.

Die Namensauflösung unserer Domain (DNS) und der Zugangsschutz interner Verwaltungsoberflächen (Cloudflare Access) laufen über die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Bei der DNS-Abfrage erfährt Cloudflare die IP-Adresse des anfragenden Servers bzw. Geräts. Cloudflare Access nutzt nur unser Team.

Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und erreichbarer Betrieb).

Damit wir Ausfälle schnell bemerken, überwachen wir unsere Systeme mit Uptime Kuma (Erreichbarkeit) und Beszel (Auslastung des Servers). Beide laufen auf unserem eigenen Server und erfassen nur technische Messwerte, keine Daten über Sie.

Zusätzlich prüft ein externer Überwachungsdienst in regelmäßigen Abständen, ob unsere eigenen Adressen (z. B. portal.kavoma.com) erreichbar sind. Er ruft dabei nur diese Adressen auf und erhält keine personenbezogenen Daten aus dem Portal. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wir speichern Daten nur so lange, wie wir sie brauchen oder gesetzlich aufbewahren müssen:

• Konto und Projektdaten: für die Dauer der Zusammenarbeit. Danach löschen wir sie bzw. Sie erhalten auf Wunsch vorher einen Export.
• Papierkorb: Gelöschte Inhalte liegen 30 Tage im Papierkorb, damit sich versehentliche Löschungen rückgängig machen lassen. Danach werden sie samt Dateien automatisch endgültig gelöscht.
• Rechnungen: 8 Jahre (steuerrechtliche Aufbewahrungspflicht). Endet die Zusammenarbeit, bleiben nur die Rechnungen mit Name und Anschrift bis zum Ende dieser Frist erhalten.
• Aktivitäts-Protokoll: 3 Jahre, danach automatisch gelöscht.

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage eines berechtigten Interesses, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

Schreiben Sie uns dazu einfach an [email protected]. Die Löschung Ihres Kontos können Sie auch direkt im Portal unter Konto → Profil beantragen.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.

Alle Verbindungen zum Portal sind per TLS verschlüsselt. Zugriffsrechte sind in der Datenbank selbst festgelegt, sodass jedes Unternehmen nur seine eigenen Daten sieht. Teamkonten sind mit einem zweiten Faktor geschützt.

Wenn sich das Portal oder die eingesetzten Dienste ändern, passen wir diese Datenschutzerklärung an. Es gilt die hier veröffentlichte Fassung. Stand: 11.10.2026.