Datenschutzerklärung

2. Hosting und technische Bereitstellung

IDUWA und IDUWA Connect werden auf Servern eines Hosting-Anbieters betrieben. Beim Aufruf der Seiten werden technisch erforderliche Daten verarbeitet, damit die Website sicher, stabil und korrekt ausgeliefert werden kann.

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei
• Referrer-URL, sofern übermittelt
• Browsertyp, Browserversion und Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Website. Sofern erforderlich, besteht mit dem Hosting-Anbieter ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

3. Datensicherheit

Unsere Seiten nutzen SSL- bzw. TLS-Verschlüsselung. Zusätzlich setzen wir technische und organisatorische Maßnahmen ein, um Daten vor Verlust, Manipulation und unbefugtem Zugriff zu schützen. Sicherheitsrelevante Vorgänge wie Login, Produktaktivierung oder PIN-Prüfung werden durch CSRF-Schutz, Token, Hashing und Sperrmechanismen abgesichert.

4. Nutzerkonto, Registrierung und Login

Wenn ein IDUWA-Connect-Konto erstellt oder genutzt wird, verarbeiten wir Daten, die für Registrierung, Anmeldung, Kontosicherheit und Produktverwaltung erforderlich sind.

• Verarbeitete Daten: E-Mail-Adresse, Nutzer-ID, technische Konto-ID, Aktivierungsstatus, PIN-Hash, Registrierungszeitpunkt
• Optionale Profildaten: Nickname, Vorname, Nachname und Telefonnummer
• Zweck: Kontoerstellung, Login, Verwaltung verbundener Produkte und Kommunikation zu Sicherheitsvorgängen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die Nutzung des Kontos erforderlich ist

PINs werden nicht im Klartext gespeichert, sondern als Hashwert verarbeitet. Freiwillige Profildaten können im Konto bearbeitet oder entfernt werden.

5. Cookies und Sessions

Wir verwenden Cookies und serverseitige Sessions, soweit sie für die Funktion der Anwendung erforderlich sind oder eine vom Nutzer gewählte Komfortfunktion bereitstellen.

• PHP-Session: Login-Status und Formularschutz; Dauer in der Regel bis zum Sitzungsende
• CSRF-Token: Schutz vor unbefugten Formularanfragen; technisch erforderlich
• iduwa_pending_claim: im bisherigen Claim-Verfahren zur Fortsetzung einer Produktaktivierung; ca. 24 Stunden. Dieser Mechanismus wird im neuen Claim-Verfahren schrittweise ersetzt.
• Claim-V2-Ticket: Der Aktivierungskontext wird nicht in einem Claim-Cookie oder einer Claim-Session gespeichert, sondern über ein zeitlich begrenztes Ticket in der URL fortgeführt.
• iduwa_claim_device: zufällige Gerätekennung für den Schutz vor automatisierten Aktivierungsversuchen; bis zu 180 Tage
• iduwa_td: optionales Merken eines vertrauenswürdigen Geräts; ca. 30 Tage
• iduwa_profile_visitor: Wiedererkennung eines Profilbesuchers für eine interne Besucherzählung; bis zu 365 Tage

Das Merken eines vertrauenswürdigen Geräts ist freiwillig. Sicherheits-Cookies sind als HttpOnly- und Secure-Cookies mit SameSite-Schutz ausgestaltet, soweit die jeweilige Funktion dies zulässt.

6. Produktaktivierung und Claim-System

Bei der Aktivierung eines IDUWA-Produkts werden Produktkennungen und Sicherheitsdaten verarbeitet, um das Produkt eindeutig einem Nutzerkonto zuzuordnen und unberechtigte Aktivierungen zu verhindern.

• Verarbeitete Daten: interne Produkt-ID, Tag-ID, Produkttyp, Aktivierungsstatus, Art der Codeprüfung, Ticketstatus, Nutzerzuordnung und Zeitpunkte
• Aktivierungsticket: Das neue Ticket ist regelmäßig 48 Stunden gültig. Der zufällige Ticketwert wird nur im Link mitgeführt; in der Datenbank wird ausschließlich sein SHA-256-Hash gespeichert.
• Erneuter Scan: Wird nach erneuter korrekter Codeeingabe ein neues Ticket erzeugt, wird das vorherige Ticket ungültig und als abgebrochen gekennzeichnet.
• Sicherheitsdaten: Fehlversuche, Sperrzeitpunkte sowie HMAC-pseudonymisierte IP-, Geräte- und Produktwerte. Die IP-Adresse wird zur Hashbildung technisch verarbeitet, jedoch im neuen Rate-Limit-System nicht im Klartext gespeichert.
• Zweck: Produktzuordnung, Schutz vor unberechtigten Aktivierungen, automatisierten Codeversuchen und missbräuchlichen Mehrfachzugriffen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO

Produkt-PINs und Aktivierungscodes werden serverseitig geprüft. Nach erfolgreicher Aktivierung werden Produkt, Nutzerkonto und gegebenenfalls der verwendete Aktivierungscode miteinander verknüpft. Das Ticket wird als abgeschlossen markiert und kann nicht erneut verwendet werden.

7. Öffentliche Profile und Sichtbarkeit

Je nach Produkt und gewähltem Profiltyp können Nutzer öffentliche Profilinformationen hinterlegen. Diese Daten werden angezeigt, wenn ein zugehöriger QR-Code oder Link aufgerufen wird und das Profil auf öffentlich gestellt ist.

• Keyfinder: Titel, Hinweistext, Kontaktname, Telefonnummer, WhatsApp-Nummer und gewählte Kontaktwege
• Dogfinder: Tiername, Tierart, Rasse, Merkmale, Hinweise, medizinische Hinweise, Kontaktname, Telefonnummer und WhatsApp-Nummer
• Produktstatus: Profiltyp, Sichtbarkeitsstatus und Zuordnung zum Produkt
• Zweck: Kontaktaufnahme durch Finder und Anzeige der vom Nutzer hinterlegten Informationen

Nutzer entscheiden selbst, welche Informationen sie hinterlegen und welche Kontaktwege angezeigt werden. Medizinische Hinweise oder ähnliche sensible Angaben sollten nur eingetragen werden, wenn sie für den Zweck wirklich erforderlich sind.

8. Freiwillige Standortübermittlung durch Finder

Bei bestimmten öffentlichen Profilen kann ein Finder freiwillig einen Fundort übermitteln. Die Standortfreigabe erfolgt über die Browserfunktion des verwendeten Geräts und nur, wenn der Finder diese aktiv erlaubt.

• Verarbeitete Daten: Breiten- und Längengrad, Genauigkeit, Produkt-ID, Profiltyp, Zeitpunkt, IP-Hash und User-Agent
• Zweck: Übermittlung eines Fundorts an den Produktbesitzer und Schutz vor mehrfacher Übermittlung
• Benachrichtigung: Bei aktivierter Benachrichtigung kann der Standort per E-Mail an den Produktbesitzer gesendet werden
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO für die freiwillige Standortfreigabe und Art. 6 Abs. 1 lit. f DSGVO für technische Schutzmaßnahmen

Zur besseren Auffindbarkeit kann in der Benachrichtigung ein Google-Maps-Link mit den übermittelten Koordinaten enthalten sein.

9. Uploads, Bilder und Dokumente

Nutzer können je nach Profiltyp Bilder oder Dokumente hochladen, zum Beispiel ein Hundebild, ein Schlüsselbild oder ein PDF-Dokument.

• Verarbeitete Daten: Datei, Dateipfad, Dateigröße, MIME-Type, ursprünglicher Dateiname, Produkt- und Nutzerzuordnung
• Speicherorte: Upload-Verzeichnisse innerhalb der IDUWA-Connect-Anwendung
• Zweck: Anzeige oder Verwaltung freiwillig hochgeladener Profil- und Produktinformationen
• Löschung: Beim Ersetzen einer Datei kann die vorherige Datei entfernt werden; weitere Löschungen erfolgen im Rahmen der Profil- oder Kontoverwaltung

Hochgeladene Bilder können Metadaten enthalten. Nutzer sollten nur Dateien hochladen, die für den jeweiligen Zweck geeignet sind.

10. E-Mail-Benachrichtigungen

Wir versenden transaktionale E-Mails, die für Konto, Sicherheit und Produktfunktionen erforderlich sind.

• Aktivierung des Nutzerkontos
• Zurücksetzen einer PIN
• Bestätigung einer E-Mail-Änderung
• Information über eine geänderte E-Mail-Adresse
• Scan- oder Fundortbenachrichtigungen, wenn diese Funktion aktiviert ist

Diese E-Mails können Sicherheitslinks, Produktkennungen, Zeitpunkte und bei freiwilliger Standortübermittlung auch Koordinaten bzw. Kartenlinks enthalten.

11. Interne Profilstatistiken

Bei öffentlichen Profilaufrufen kann eine einfache interne Aktivitätsanzeige geführt werden. Dabei können Profilaufrufe, Standortmeldungen und Zeitpunkte gezählt werden. Zur Vermeidung mehrfacher Zählungen kann ein pseudonymer Besucherwert gespeichert werden.

• Verarbeitete Daten: Produkt-ID, Profiltyp, Zählwerte, Zeitpunkte und pseudonymer Besucher-Hash
• Zweck: Anzeige einfacher Aktivitäten für den Produktbesitzer
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

Diese interne Zählung wird nicht zu Werbe-, Tracking- oder Profilingzwecken eingesetzt.

12. Externe Dienste und Links

Je nach Seite oder Funktion können externe Dienste oder ausgehende Links verwendet werden.

• WhatsApp: Bei Klick auf einen WhatsApp-Kontaktlink wird der Nutzer zu WhatsApp bzw. wa.me weitergeleitet.
• Google Maps: Bei Standortbenachrichtigungen kann ein Kartenlink mit Koordinaten enthalten sein.
• CDN-Ressourcen: Die Hauptanwendung IDUWA Connect lädt zentrale Bibliotheken lokal. Einzelne IDUWA-Webseiten können technische Ressourcen wie Bootstrap oder Icons über CDN laden.
• Eigene Domains: Links zu iduwa.de oder connect.iduwa.de dienen der Navigation innerhalb unserer Angebote.

Beim Aufruf externer Dienste gelten zusätzlich die Datenschutzbedingungen des jeweiligen Anbieters.

13. Keine werblichen Tracking-Tools

Wir verwenden derzeit keine externen Werbe- oder Analyse-Tools wie Google Analytics, Meta Pixel oder vergleichbare Dienste. Eine interne, zweckgebundene Besucher- und Aktivitätszählung für öffentliche IDUWA-Profile kann wie oben beschrieben erfolgen.

14. Empfänger der Daten

Personenbezogene Daten werden nicht verkauft. Eine Weitergabe erfolgt nur, soweit dies für Betrieb, Hosting, E-Mail-Versand, Sicherheitsfunktionen, gesetzliche Pflichten oder vom Nutzer aktiv gewählte Funktionen erforderlich ist.

15. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

• Konto- und Produktdaten werden grundsätzlich für die Dauer der Kontonutzung gespeichert.
• Temporäre Aktivierungs- und Reset-Token sind zeitlich begrenzt; Claim-V2-Tickets sind regelmäßig 48 Stunden verwendbar.
• Abgeschlossene, ersetzte und abgelaufene Claim-V2-Tickets werden während der Entwicklungs- und Testphase zur Fehleranalyse und Missbrauchserkennung vorgehalten und anschließend nach einem festzulegenden Bereinigungskonzept gelöscht oder anonymisiert.
• Rate-Limit-Sperren gelten abhängig von Schutzebene und Anzahl der Fehlversuche typischerweise zwischen 10 und 60 Minuten. Veraltete technische Zähler werden im Rahmen der Systembereinigung entfernt.
• Freiwillige Profildaten können im Konto geändert oder entfernt werden.
• Usecase-Daten wie Keyfinder- oder Dogfinder-Angaben können entfernt werden.
• Sicherheits- und Sperrdaten werden nur so lange vorgehalten, wie sie für Schutz und Nachvollziehbarkeit erforderlich sind.

16. Deine Rechte

Du hast nach Maßgabe der gesetzlichen Voraussetzungen jederzeit das Recht:

• Auskunft über gespeicherte Daten zu erhalten (Art. 15 DSGVO)
• unrichtige Daten berichtigen zu lassen (Art. 16 DSGVO)
• die Löschung deiner Daten zu verlangen (Art. 17 DSGVO)
• die Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• Datenübertragbarkeit zu verlangen (Art. 20 DSGVO)
• eine erteilte Einwilligung zu widerrufen (Art. 7 Abs. 3 DSGVO)
• Widerspruch gegen bestimmte Verarbeitungen einzulegen (Art. 21 DSGVO)

Für datenschutzbezogene Anfragen reicht eine E-Mail an info@iduwa.de.

17. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung personenbezogener Daten gegen die DSGVO verstößt.

18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen, technische Prozesse oder Inhalte unserer Angebote ändern.

Stand: September 2026