Datenschutz.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

E-Mail: [E-Mail-Adresse ergänzen]

Datenschutzbeauftragte Person: [Prüfen, ob eine Benennung erforderlich ist; andernfalls entfernen]

2. Grundsätze und Geltungsbereich

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung, Sicherheit, Kommunikation und Verbesserung der konkreten Havex-Leistung erforderlich ist. Welche Daten tatsächlich verarbeitet werden, hängt vom jeweils aktivierten Release ab. Diese Arbeitsfassung wird vor jedem öffentlichen Produktivstart an die reale Datenverarbeitung angepasst.

3. Website und technische Zugriffsdaten

Beim Abruf der Website können technisch erforderliche Zugriffsdaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer, User-Agent und Statuscode. Ob und wie lange solche Daten durch den Webhoster gespeichert werden, muss vor dem Launch anhand der tatsächlichen Server- und Logging-Konfiguration ergänzt werden.

Rechtsgrundlage ist — soweit die Verarbeitung für die sichere und technisch funktionsfähige Bereitstellung erforderlich ist — Art. 6 Abs. 1 lit. f DSGVO. Die konkreten berechtigten Interessen, Speicherdauer und Empfänger sind in der finalen Fassung zu benennen.

4. Login, Konto und Nutzername

Für ein Havex-Konto können Nutzername, Anzeigename, E-Mail-Adresse, Passwort-Hash, Geräte- und Sitzungsdaten sowie Sicherheitsereignisse erforderlich sein. Passwörter dürfen ausschließlich als geeignete, gesalzene Hashes verarbeitet werden. Die finale Fassung muss Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und Löschkonzept je Datenkategorie konkret ausweisen.

Der aktuelle UX-Preview-Login ist nicht an ein Backend angeschlossen und übermittelt keine eingegebenen Zugangsdaten.

5. Nachrichten, Gruppen und Calls

Für Nachrichten, Gruppen, Sprach- und Videoanrufe können Inhaltsdaten und technische Metadaten verarbeitet werden, soweit dies für Zustellung, Synchronisierung, Missbrauchsschutz, Verbindungsaufbau und Fehlerbehebung erforderlich ist. Audio- und Videoinhalte dürfen nicht pauschal als vollständig anonym oder vollständig unsichtbar für Infrastrukturbetreiber beschrieben werden, solange die konkrete Architektur und Verschlüsselung nicht unabhängig geprüft ist.

Bei Ende-zu-Ende-Verschlüsselung müssen Schlüsselmodell, Gerätewechsel, Wiederherstellung, Gruppenverwaltung, Metadaten, Missbrauchsmeldungen und Verlustszenarien in einer technischen Datenschutz- und Sicherheitsdokumentation nachgewiesen werden.

6. Release-Key und Canary-Kanal

Ein Release-Key darf ausschließlich zur Berechtigung des Canary-Kanals verwendet werden. Die Produktionsarchitektur soll den Schlüssel serverseitig prüfen, Rate-Limits und Widerruf unterstützen und statt des Klartextschlüssels nur einen kurzlebigen, signierten Berechtigungsnachweis ausgeben. Die aktuelle Website-Vorschau akzeptiert lediglich ein Demoformat im laufenden Tab und speichert den Schlüssel nicht.

7. Cookies, lokale Speicherung und Analyse

Die aktuelle statische Vorschau setzt keine nicht erforderlichen Cookies und verwendet für den Canary-Demozugang keine dauerhafte Speicherung. Vor dem Launch sind Consent-Management, Analyse, eingebettete Inhalte, externe Schriften, CDN, Crash-Reporting, Push-Dienste und Zahlungsanbieter separat zu erfassen und in dieser Erklärung zu ergänzen.

8. Empfänger und Drittlandübermittlungen

[Vor Veröffentlichung ausfüllen: Hosting, DNS, E-Mail, Authentifizierung, Datenbank, TURN/SFU, Object Storage, Monitoring, Support, Zahlungsdienstleister und deren Auftragsverarbeitungsverträge]

Für jeden Empfänger sind Zweck, Datenkategorien, Rechtsgrundlage, Auftragsverarbeitungsvertrag und — falls relevant — geeignete Garantien für Drittlandübermittlungen zu prüfen.

9. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen. Die tatsächlichen Fristen für Konto, Nachrichten, Sicherheitslogs, Support und Backups müssen vor dem Launch in einem Löschkonzept festgelegt werden.

10. Rechte betroffener Personen

Betroffene Personen haben im Rahmen der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch. Eine erteilte Einwilligung kann mit Wirkung für die Zukunft widerrufen werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

Anfragen können an [E-Mail-Adresse ergänzen] gerichtet werden. Die Identität muss bei sensiblen Anfragen angemessen geprüft werden.

11. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitung, Dienste, Rechtslage oder eingesetzte Anbieter ändern. Die jeweils aktuelle Fassung enthält ein Datum und wird über die Website leicht erreichbar bereitgestellt.