Datenschutzerklärung

1. Verantwortlicher

Bär Softwareentwicklung UG (haftungsbeschränkt), Bolongarostraße 101H, 65929 Frankfurt am Main, Deutschland

E-Mail: anthony.baer@baer-software.com
Telefon: +49 160 8599799

2. Bereitstellung der Website und Server-Logs

Die Website wird bei DigitalOcean, LLC, USA, in der Rechenzentrumsregion Frankfurt am Main (fra1) betrieben. Beim Aufruf verarbeitet der Hosting-Dienst technisch erforderliche Verbindungsdaten. Dazu können IP-Adresse, Datum und Uhrzeit, angeforderte URL, übertragene Datenmenge, Referrer, Browser- und Betriebssystemangaben sowie HTTP-Status gehören.

Die Verarbeitung dient der sicheren, stabilen und fehlerfreien Bereitstellung der Website und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Webserver-Zugriffsprotokolle werden grundsätzlich spätestens nach 14 Tagen gelöscht, sofern keine längere Aufbewahrung zur Untersuchung eines konkreten Sicherheitsvorfalls erforderlich ist.

DigitalOcean verarbeitet Hosting-Daten als Auftragsverarbeiter auf Grundlage seines Data Processing Agreement. Trotz der gewählten deutschen Rechenzentrumsregion können Daten im Rahmen von Support, Sicherheit oder Unterauftragsverarbeitung in die USA gelangen. DigitalOcean nennt hierfür insbesondere das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln als Übermittlungsgrundlagen. Informationen: Data Processing Agreement und Liste der Unterauftragsverarbeiter.

3. Öffentliche Website, Cookies und Browser-Speicher

Die öffentlichen Informations- und Dokumentationsseiten setzen keine Analyse- oder Werbe-Cookies und verwenden weder Local Storage noch einen dauerhaften Browser-Identifier. Session Storage wird nur verwendet, wenn Sie die Reichweitenmessung über den URL-Parameter analytics=off für den aktuellen Tab ausschalten.

Im Early-Access-Formular sowie im Login-, Einladungs- und Cloud-Bereich sind technisch notwendige, verschlüsselte Session-Cookies erforderlich. Sie dienen dem Schutz von Formularen, der Anmeldung und der vorübergehenden Anzeige von Statusmeldungen. Wenn „Remember me“ gewählt wird, wird zusätzlich ein langlebiger Anmelde-Cookie gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bearbeitung der Anfrage und Bereitstellung des angeforderten Cloud-Zugangs sowie § 25 Abs. 2 Nr. 2 TDDDG. Analyse- oder Werbe-Cookies werden nicht eingesetzt.

4. Datensparsame Reichweitenmessung

Auf den öffentlichen Marketing- und Dokumentationsseiten messen wir Seitenaufrufe, den außerhalb von LaraBeacon liegenden Referrer-Ursprung, definierte Ereignisse im Early-Access-Prozess und die aktive sichtbare Nutzungszeit. URL-Query-Parameter werden nicht übertragen. Eine zufällige Seitenaufruf-Kennung existiert nur im Arbeitsspeicher des aktuellen Tabs. IP-Adresse und User-Agent werden im von Bär Softwareentwicklung UG betriebenen Dashboard ausschließlich zu einem projektspezifischen pseudonymen Besucherwert zusammengeführt; die Rohwerte werden nicht als Analysedaten gespeichert.

Die Messung setzt keine Cookies, verwendet keinen Local Storage und bildet kein dauerhaftes geräteübergreifendes Profil. „Do Not Track“ wird beachtet. Mit analytics=off können Sie die Messung für den aktuellen Tab ausschalten; analytics=on hebt diese Einstellung wieder auf. Die Daten werden höchstens 13 Monate aufbewahrt. Die Verarbeitung dient der Reichweitenmessung und Verbesserung unseres Angebots auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Sie können dieser Verarbeitung außerdem jederzeit über die oben genannte Kontaktadresse widersprechen.

5. Early-Access-Anfragen und Cloudflare Turnstile

Wenn Sie Early Access anfragen, verarbeiten wir Name, geschäftliche E-Mail-Adresse, optional Unternehmen, Anzahl und Laravel-Version Ihrer Projekte, Tarifinteresse und die von Ihnen beschriebene Nutzung. Die Angaben dienen ausschließlich der Prüfung, Beantwortung und gegebenenfalls Freigabe Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Nicht freigegebene Anfragen werden grundsätzlich spätestens zwölf Monate nach Eingang oder der letzten Aktualisierung gelöscht.

Wenn Sie über eine Google-Ads-Anzeige zum Early-Access-Formular gelangen, führen wir eine von Google an die URL angehängte Klickkennung (gclid) sowie optionale Kampagnenparameter nur über interne Links und versteckte Formularfelder weiter. Wir laden kein Google-Ads-Tag und speichern diese Kennungen nicht in Cookies, Local Storage oder Session Storage. In der Anwendungsdatenbank werden sie erst nach dem Absenden und getrennt von den Formularinhalten gespeichert; auf die in Abschnitt 2 beschriebenen technischen Server-Logs bleibt der ursprüngliche URL-Aufruf beschränkt. Wird die Anfrage persönlich freigegeben, können wir ausschließlich die Klickkennung, Freigabezeit, einen Conversion-Namen, Wert, Währung und eine zufällige Referenz manuell an Google Ireland Limited übermitteln. Namen, E-Mail-Adressen, Unternehmen, Freitexte und Projektdaten werden nicht an Google übermittelt. Die Zuordnungsdaten werden spätestens nach 90 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Erfolgsmessung unserer Werbung. Informationen: Google-Datenschutzerklärung.

Zum Schutz des Anfrageformulars vor automatisiertem Missbrauch verwenden wir Cloudflare Turnstile der Cloudflare, Inc., USA. Turnstile verarbeitet technisch erforderliche Verbindungs-, Browser- und Interaktionsdaten, insbesondere IP-Adresse, Browser- und Geräteinformationen, Referrer sowie Zeitpunkt und Ergebnis der Sicherheitsprüfung. Dabei können technisch notwendige Cookies oder vergleichbare Speicherzugriffe erfolgen. Die Verarbeitung erfolgt zur Abwehr von Spam und Missbrauch auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und § 25 Abs. 2 Nr. 2 TDDDG. Cloudflare nennt für Übermittlungen insbesondere das EU-US Data Privacy Framework und EU-Standardvertragsklauseln. Informationen: Cloudflare Privacy Policy und Data Processing Addendum.

6. Cloud-Konten, Teams und Einladungen

Für den Cloud Early Access verarbeiten wir insbesondere Name, geschäftliche E-Mail-Adresse, Passwort-Hash, E-Mail-Bestätigungszeitpunkt, Teamzugehörigkeit, Rolle, Einladungs- und Annahmezeitpunkte, Zustimmungsversion der Cloud-Bedingungen, Session- und Zwei-Faktor-Daten sowie sicherheitsrelevante Anmeldeinformationen. Projekt-API-Tokens werden ausschließlich als nicht rückrechenbarer Hash gespeichert; der Klartext wird nur einmal bei Erstellung oder Rotation angezeigt.

Die Verarbeitung ist erforderlich, um den eingeladenen Nutzern den Cloud-Dienst bereitzustellen, Berechtigungen durchzusetzen und Zugänge abzusichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsprotokolle und Maßnahmen gegen Missbrauch stützen sich zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Einladungen verfallen grundsätzlich nach sieben Tagen; verbrauchte und abgelaufene Einladungsdaten werden im Rahmen der regelmäßigen Datenpflege gelöscht.

7. Projekt- und Analyseberichte

Cloud verarbeitet die vom Kunden ausdrücklich übermittelte Projektkennung, Umgebung, Anwendung und optionale Repository-, Branch-, Commit- und URL-Angaben sowie Analyzer-Ergebnisse, Kategorien, Status, Schweregrad, Dokumentationslinks, Pfade, Zeilennummern und Meldungen. Quelltextausschnitte und Exception-Stacktraces werden nur übermittelt, wenn sie im LaraBeacon-Client ausdrücklich aktiviert wurden. Diese Inhalte können je nach Projekt personenbezogene oder vertrauliche Informationen enthalten.

Der unverarbeitete Übertragungspayload wird nach erfolgreicher Aufbereitung verworfen. Die für Verlauf und Vergleich normalisierten Berichte werden abhängig vom zugeordneten Tarif grundsätzlich 60, 90 oder 180 Tage aufbewahrt und anschließend automatisiert gelöscht. Bei einem Verarbeitungsfehler wird der unverarbeitete Payload ebenfalls verworfen. Die Verarbeitung erfolgt zur Erfüllung des Cloud-Nutzungsverhältnisses gemäß Art. 6 Abs. 1 lit. b DSGVO. Soweit wir Berichtsdaten im Auftrag eines Kunden verarbeiten, wird die erforderliche Vereinbarung zur Auftragsverarbeitung vor einer entsprechenden produktiven Nutzung abgeschlossen.

8. Transaktionale E-Mails

Für Team-Einladungen, E-Mail-Bestätigungen, Passwort-Zurücksetzungen und sicherheitsbezogene Kontonachrichten setzen wir Plus Five Five, Inc. (Resend), USA, als Auftragsverarbeiter ein. Dabei werden insbesondere Empfängeradresse, Betreff, Nachrichteninhalt, Versandzeitpunkt und technische Zustellinformationen verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsnachrichten stützen sich zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

Resend stellt ein Data Processing Addendum einschließlich EU-Standardvertragsklauseln bereit und veröffentlicht seine Unterauftragsverarbeiter. Informationen: Data Processing Addendum und Liste der Unterauftragsverarbeiter.

9. Betriebs-, Fehler- und Portfoliodaten

Für den sicheren Betrieb kann LaraBeacon technische Zustandsinformationen wie Erreichbarkeit, Datenbank- und Queue-Status, Worker- und Scheduler-Heartbeats, Speicherplatz, Release-Kennung sowie datensparsam gruppierte Fehlermeldungen an ein von Bär Softwareentwicklung UG betriebenes Portfolio-Dashboard übermitteln. Report-Payloads, Quelltextausschnitte, Projekt-API-Tokens und Passwörter werden nicht zu diesem Zweck übertragen. Zugangstokens werden nicht an Browser ausgeliefert.

Das interne Portfolio erhält im Normalbetrieb nur aggregierte Kennzahlen zu Konten, Teams, Projekten, Berichten, Lizenzen und offenen Early-Access-Anfragen. Erst bei einer gezielten Suche nach der vollständigen E-Mail-Adresse im zugangsgeschützten Dashboard werden Name, E-Mail-Adresse, höchster aktiver Tarif, Verifizierungsstatus und letzte Kontoaktivität des exakt passenden Kontos live abgerufen. Projekt- und Berichtsnamen, Reportinhalte, Zahlungskennungen und Anfragebeschreibungen werden nicht übertragen. Das Suchergebnis wird vom Portfolio-Dashboard nicht dauerhaft gespeichert.

Die Verarbeitung erfolgt zur technischen und wirtschaftlichen Steuerung des Produkts, zur Bearbeitung von Kundenanliegen und zur Missbrauchserkennung auf Grundlage von Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die serverseitigen Betriebs- und Portfoliodaten werden nicht zur Bildung von Werbeprofilen verwendet.

10. Zahlungen

Für einmalige Zahlungen setzen wir Stripe ein. Dabei werden insbesondere Name, geschäftliche E-Mail-Adresse, Rechnungsanschrift, Land, Steuer-ID, Zahlungsart, Zahlungsstatus, Betrag, Währung, Transaktions- und Kundenkennung sowie technische Verbindungs- und Betrugspräventionsdaten verarbeitet. Vollständige Kartendaten werden unmittelbar von Stripe erhoben und nicht auf unseren Servern gespeichert. Wir erhalten die zur Bestätigung, Lizenzfreischaltung, Rechnung, Rückerstattung und Buchhaltung erforderlichen Transaktionsdaten.

Die Verarbeitung erfolgt zur Durchführung des Vertrags gemäß Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung steuer- und handelsrechtlicher Pflichten gemäß Art. 6 Abs. 1 lit. c DSGVO sowie zur Betrugs- und Missbrauchsprävention gemäß Art. 6 Abs. 1 lit. f DSGVO. Stripe Technology Company Limited und Stripe Payments Europe Limited, Irland, sowie je nach Zahlungsart weitere Zahlungsdienstleister verarbeiten Daten nach den für sie geltenden Rollen und Bedingungen. Informationen: Stripe-Datenschutzrichtlinie und Stripe Privacy Center.

Checkout-Versuche ohne erfolgreichen Abschluss werden grundsätzlich nach 90 Tagen gelöscht, soweit sie nicht zur Sicherheits- oder Fehleranalyse länger benötigt werden. Vertrags-, Rechnungs- und Buchungsdaten werden entsprechend den gesetzlichen Pflichten in der Regel sechs, acht oder zehn Jahre aufbewahrt; Buchungsbelege unterliegen grundsätzlich einer achtjährigen Aufbewahrung.

11. Kontaktaufnahme

Wenn Sie per E-Mail oder Telefon Kontakt aufnehmen, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist je nach Inhalt Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche oder vertragliche Kommunikation oder Art. 6 Abs. 1 lit. f DSGVO für sonstige Anfragen. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

12. Externe Links

Die Website verlinkt insbesondere auf GitHub, archivierte Dokumentation, DigitalOcean, Resend und baer-software.com. Inhalte dieser Anbieter werden nicht automatisch eingebettet. Erst beim Aufrufen eines externen Links verarbeitet der jeweilige Anbieter Verbindungsdaten nach seinen eigenen Datenschutzbedingungen.

13. Speicherdauer und Ihre Rechte

Konten und Teamzuordnungen werden grundsätzlich für die Dauer des Cloud-Nutzungsverhältnisses gespeichert. Danach werden sie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten, offene Ansprüche oder berechtigten Sicherheitsinteressen entgegenstehen. Gesetzlich aufzubewahrende Vertrags- und Abrechnungsdaten können insbesondere sechs, acht oder zehn Jahre gespeichert werden.

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung Ihrer Rechte genügt eine Nachricht an die oben genannte Kontaktadresse.

14. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für den Verantwortlichen ist insbesondere der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, zuständig. Weitere Informationen: datenschutz.hessen.de.

KI-Arbeitspläne mit Claude

KI-Arbeitspläne sind für Cloud-Teams standardmäßig aktiviert und können durch einen Eigentümer oder Administrator deaktiviert werden. Erst bei einer bewussten Anforderung werden höchstens 20 unterstützte offene Findings mit internen Finding-IDs, festen Prüfbeschreibungen aus unserem Katalog, technischen Statuswerten und Anzahlen an die Claude API von Anthropic übertragen. Projekt- und Benutzernamen, Repository-Kennungen, Quellcode, Dateipfade, Diagnose- und Fehlermeldungen sowie Stacktraces werden nicht übertragen.

Die Verarbeitung dient der angeforderten Priorisierung und Erläuterung technischer Prüfergebnisse. Die Team-Einstellung steuert die Verfügbarkeit dieser optionalen Funktion und ersetzt keine erforderliche datenschutzrechtliche Vereinbarung. Bei personenbezogenen Berichtsinhalten bleibt die erforderliche Auftragsverarbeitungsvereinbarung Voraussetzung. Für Anthropic gelten die anwendbaren API-Vertragsbedingungen und die für das verwendete Konto geltenden Aufbewahrungs- und Übermittlungseinstellungen; es wird keine ausschließliche EU-Verarbeitung oder automatische Nichtaufbewahrung zugesichert. Informationen: Anthropic zur Aufbewahrung von API-Daten und API-Vertragsbedingungen.

Gespeicherte Arbeitspläne werden zusammen mit dem zugehörigen Cloud-Bericht gelöscht. Technische Tageskontingente ohne Berichtsinhalte bleiben zur Durchsetzung des Limits höchstens bis zur täglichen Bereinigung nach sieben Tagen erhalten; monatliche Budgetzähler enthalten keine Berichtsinhalte. Eine Deaktivierung verhindert neue Anforderungen, kann eine bereits gesendete Anfrage aber nicht zurückrufen. KI-Vorschläge ändern keine Prüfergebnisse und müssen fachlich geprüft werden.

15. Aktualisierung

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Hosting, externe Dienste oder Rechtsgrundlagen ändern.