Entwurfsstand 30.10.2026. Diese Information beschreibt den derzeit im Repository erkennbaren Funktionsumfang. Angaben in eckigen Klammern sind vor dem Pilotbetrieb zu prüfen und zu ergänzen; insbesondere Verantwortlicher, Dienstleister, Aufbewahrung und Übermittlungen. Sie ist keine Bestätigung vollständiger DSGVO-Konformität.
1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist: [VOLLSTÄNDIGEN NAMEN DES VERANTWORTLICHEN EINFÜGEN], [VOLLSTÄNDIGE POSTANSCHRIFT EINFÜGEN], E-Mail: [DATENSCHUTZ-/KONTAKT-E-MAIL EINFÜGEN]. Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter: [BESTELLUNGSPFLICHT PRÜFEN; NAME/KONTAKT ODER „NICHT BESTELLT“ ANGEBEN].
2. Kategorien, Zwecke und Rechtsgrundlagen
- Einladung, Konto und Anmeldung: E-Mail-Adresse, Name, Passwort-Hash, Konto-/Sitzungs- und Verifizierungsdaten, Gruppenmitgliedschaft sowie Einladungsumfang und Status. Für eine neue Einladungskonto-Registrierung werden zusätzlich die angenommene Pilot-Terms-Version und der serverseitige Annahmezeitpunkt an der Einladung festgehalten. Zwecke: eingeladenen Zugang ermöglichen, Konto sichern und verwalten, E-Mail-Adresse verifizieren, Gruppenberechtigungen umsetzen und die erklärte Vertragsannahme nachweisen. Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Bereitstellung des angeforderten Pilotzugangs erforderlich ist; Sicherheits- und Missbrauchsschutz kann auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Der konkrete Verantwortlichkeits- und Vertragszuschnitt ist zu prüfen.
- Projekt- und Repository-Inhalte: vom Nutzer gespeicherte Dateien, Projektmetadaten, GitHub-URL, gewünschte Referenz, aufgelöste Commit-SHA und Synchronisierungszeit. Inhalte werden für die Bereitstellung des Projektspeichers und der ausdrücklich angeforderten Importfunktion verarbeitet; Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO, soweit personenbezogene Daten betroffen sind. QROPOS führt importierten Quellcode nicht aus.
- GitHub-Zugangsdaten: ein vom Administrator hinterlegter Fine-grained Personal Access Token wird serverseitig verschlüsselt gespeichert und beim angeforderten Repository-Zugriff verwendet. Der Tokenwert wird nicht über Lese-APIs zurückgegeben. Rechtsgrundlage für die angeforderte Funktion ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO; die Rechtmäßigkeit der Bereitstellung für ein Unternehmen und interne Rollen sind zu prüfen.
- Transaktions-E-Mails: Empfängeradresse und für Einladung, Verifizierung oder Passwortwiederherstellung erforderliche Nachrichtendaten. Zweck ist die angeforderte Konto- und Sicherheitsfunktion; Rechtsgrundlage grundsätzlich Art. 6 Abs. 1 lit. b DSGVO.
- Betrieb und Sicherheit: IP-Adresse, Zeitpunkt, HTTP-Methode, URI ohne Query-Parameter und Statuscode in Gateway-Zugriffsprotokollen sowie technische Fehler- und Betriebsdaten. Zwecke: Bereitstellung, Fehleranalyse, Abwehr von Missbrauch und Sicherheit. Rechtsgrundlage ist nach Abwägung Art. 6 Abs. 1 lit. f DSGVO. Protokolle können IP-Adressen enthalten; ein festgelegter Aufbewahrungszeitraum ist noch zu bestimmen.
- Rechtspflichten und Rechtsansprüche: Soweit im Einzelfall anwendbar, erfolgt Verarbeitung nach Art. 6 Abs. 1 lit. c DSGVO beziehungsweise zur Wahrung berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO. Die konkreten Pflichten sind vor Pilotbeginn zu prüfen.
Daten nicht direkt bei der betroffenen Person (Art. 14 DSGVO): Eine Administratorin oder ein Gruppenverantwortlicher kann eine eingeladene Person anhand ihrer E-Mail-Adresse, ihres Namens und des eingeladenen Gruppen-/Projektumfangs eintragen. Gruppen- und Projektverantwortliche können außerdem Mitgliedschafts- oder Projektbezüge bereitstellen. Bei GitHub-Importen erhält QROPOS Repository-Metadaten von der GitHub-API. Quelle und Kategorie ergeben sich in der Regel aus der jeweiligen Einladung, Gruppenverwaltung oder angeforderten Repository-Importfunktion. Die einladende Person soll die eingeladene Person auf diese Datenschutzerklärung hinweisen. Weitere tatsächliche Quellen sind vom Betreiber zu ergänzen: [DATENQUELLEN UND ART.-14-PROZESS PRÜFEN].
Die für den Systembetrieb eingetragenen SMTP-Absender-/Benutzerdaten und ein zugehöriges SMTP-Passwort können ebenfalls verarbeitet werden. Ein gespeichertes SMTP-Passwort wird verschlüsselt und Administratoren nicht wieder angezeigt. Rechtsgrundlage für die Bereitstellung des E-Mail-Dienstes ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO, für den sicheren Betrieb gegebenenfalls Art. 6 Abs. 1 lit. f DSGVO.
Passwörter werden nicht im Klartext gespeichert. Einladungstoken werden in der Datenbank gehasht. GitHub-Tokens und gespeicherte SMTP-Passwörter verwenden getrennte Verschlüsselungszwecke. Projektdateien liegen im konfigurierten SeaweedFS/S3-Speicher; eine Aussage über Festplattenverschlüsselung oder kundenseitige Verschlüsselung ist damit nicht verbunden.
3. Empfänger und Dienstleister
- Der Hostinganbieter des in Deutschland betriebenen VPS und dessen genaue Rechtsperson, Unterauftragnehmer, Speicherorte, Supportzugriffe und Auftragsverarbeitungsvertrag: [ANBIETER, LAND, UNTERAUFTRAGSVERARBEITER UND ART.-28-VERTRAG ERMITTELN].
- Der Betreiber des SMTP-/E-Mail-Dienstes und seine Speicher-/Verarbeitungsorte: [E-MAIL-ANBIETER, RECHTSPERSON, LAND UND ART.-28-VERTRAG ERMITTELN].
- GitHub wird bei einem vom Nutzer ausgelösten Import/Synchronisieren über die GitHub-API angesprochen. Der Nutzer stellt die Berechtigung für das Repository und den verwendeten Token bereit. Rechtsperson, Verarbeitungsorte und Übermittlungsgrundlage: [GITHUB-ROLLEN, DATENFLÜSSE UND TRANSFERGRUNDLAGE PRÜFEN].
- Autorisierte QROPOS-Administratoren können Konten und Betriebsinformationen verwalten. Eine weitere Empfängerkategorie ist [UNTERSTÜTZUNG/WEITERE EMPFÄNGER PRÜFEN].
Ob und welche Auftragsverarbeiter nach Art. 28 DSGVO eingesetzt werden und ob Unterauftragsverarbeiter beteiligt sind, muss der Betreiber anhand der tatsächlichen Verträge feststellen.
4. Drittlandübermittlungen
Für Hosting und E-Mail sind die tatsächlichen Speicher- und Supportstandorte noch zu bestätigen. Bei der GitHub-Integration kann eine Verarbeitung oder Übermittlung außerhalb des Europäischen Wirtschaftsraums nicht ausgeschlossen werden. Zielland, Empfänger, Angemessenheitsbeschluss oder geeignete Garantien (etwa Standardvertragsklauseln) sowie ergänzende Maßnahmen: [VOR AKTIVIERUNG EXTERNER PILOTEN PRÜFEN UND KONKRET BENENNEN]. Es wird hier keine Transfergarantie behauptet.
5. Speicherdauer
Kontodaten und Projektinhalte werden grundsätzlich für die Dauer des eingerichteten Pilotzugangs benötigt. Ein verbindlicher Löschplan, Fristen nach Kontoschließung, Aufbewahrung abgelaufener Einladungen, Protokollrotation und Sicherungskopien-Löschfristen sind derzeit nicht festgelegt: [KONKRETE FRISTEN UND LÖSCHVERFAHREN FESTLEGEN]. Sicherungskopien können nach ihrer Erstellung bis zu ihrem regulären Ablauf weiterbestehen; Dauer und Verfahren: [BACKUP-RETENTION ERMITTELN]. Gesetzliche Aufbewahrungspflichten und erforderliche Nachweise bleiben im Einzelfall zu prüfen.
6. Cookies und Endgerätezugriff
Die Anwendung verwendet Better Auth Sitzungs-Cookies, die für Anmeldung und sicheren Zugriff erforderlich sind. In Produktion sind sie als HttpOnly, Secure und SameSite=Lax konfiguriert. Sie dienen dem ausdrücklich angeforderten Login und werden nicht für Werbung oder Analyse verwendet. Im geprüften QROPOS-Webquellcode wurde keine Verwendung von localStorage, sessionStorage, IndexedDB, Analyse-/Marketing-Tags oder automatisch eingebetteten externen Schriftarten gefunden. Die getrennt ausgelieferte Qermes-SPA ist nicht im gleichen Quellcode enthalten; ihr Browser-Speicherverhalten muss anhand des eingesetzten Images zusätzlich geprüft werden.
Für unbedingt erforderliche Zugriffe auf die Endeinrichtung kann die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG einschlägig sein. Nicht notwendige Speicherungen oder Zugriffe würden eine vorherige wirksame Einwilligung erfordern. Ein Cookie-Banner wird daher nicht für die beschriebenen erforderlichen Sitzungscookies eingeführt; vor Aktivierung weiterer Speicherungen ist diese Bewertung erneut vorzunehmen.
7. Betroffenenrechte und Beschwerde
Betroffene können nach Maßgabe der gesetzlichen Voraussetzungen Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) verlangen. Eine erteilte Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die hier beschriebenen Kernverarbeitungen stützen sich nicht pauschal auf Einwilligung. Anfragen: [KONTAKT-E-MAIL EINFÜGEN]. Betroffene haben außerdem das Recht, sich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO): [ZUSTÄNDIGE AUFSICHTSBEHÖRDE UND KONTAKT ERMITTELN].
8. Bereitstellung von Angaben und automatisierte Entscheidungen
Eine E-Mail-Adresse und die zur Einladung, Anmeldung und Verifizierung erforderlichen Angaben sind für den geschlossenen Zugang erforderlich. Ohne sie kann kein Konto bereitgestellt werden. Es findet nach dem geprüften Funktionsumfang keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO statt.
9. Löschung, Export und Kontakt
Eine dokumentierte Selbstbedienungsfunktion zum Export aller Kontodaten oder zur vollständigen Kontolöschung ist nicht vorhanden. Nutzer können eine Anfrage über [KONTAKT-E-MAIL EINFÜGEN] stellen. Der Betreiber muss Identität und Umfang prüfen, Projekt-/Gruppenzugriffe, Dateien, Repository-Importe und hinterlegte GitHub-Credentials berücksichtigen und Löschung oder Export einschließlich Sicherungskopien nach einem festzulegenden Verfahren dokumentieren.
Weitere Informationen: DSGVO (EUR-Lex) · § 25 TDDDG.