Datenschutzerklärung

1. Verantwortlicher und Kontakt

Diese Hinweise betreffen die Informationswebsite „SNW Integration“ sowie die internen Google-API-Anwendungen der P&S Projektentwicklung GmbH. Zur Prüfung: Soweit Anwendungen Daten anderer Gesellschaften verarbeiten, sind deren datenschutzrechtliche Rollen und gegebenenfalls Auftragsverarbeitungsvereinbarungen vor Veröffentlichung zu ergänzen. Ob ein Datenschutzbeauftragter zu benennen ist und welche Kontaktdaten gegebenenfalls anzugeben sind, ist noch zu prüfen.

2. Informationswebsite und technische Zugriffsdaten

Diese Informationswebsite stellt ausschließlich allgemeine Informationen bereit. Sie enthält keine Formulare, keine öffentliche Anmeldung und keine eingebundenen externen Tracking-Skripte. Auf dieser Website werden keine Google-Tokens eingegeben, gespeichert oder öffentlich angezeigt.

Beim Seitenabruf verarbeitet die Hosting-Infrastruktur technisch erforderliche Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, HTTP-Status sowie Browserinformationen. Zweck sind Auslieferung, Stabilität und Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren Betrieb dieser Informationswebsite. Zur Prüfung: tatsächliche Protokollierung, Cookies oder Speicherzugriffe der Hosting-Plattform und konkrete Löschfristen.

3. Google Search Console API

Berechtigte Personen können freigegebene Website-Properties intern verwalten und auswerten. Abhängig von API und Rolle betrifft dies etwa Property-URLs, Zugriffsberechtigungen, Sitemaps, Indexierungsinformationen und Suchleistungsdaten wie Suchanfragen, Seiten, Länder, Geräte, Klicks und Impressionen. Suchanfragen und URLs können im Einzelfall personenbezogene Angaben enthalten.

Zwecke sind die Analyse der Auffindbarkeit eigener Unternehmenswebsites, technische Fehlerdiagnose und die jeweils gesondert freigegebene Website-Verwaltung. Zur Prüfung: tatsächlich beantragte OAuth-Scopes, Lese- bzw. Verwaltungsrechte und der Umfang dauerhaft gespeicherter Auswertungen.

4. Google Analytics Data API

Die Google Analytics Data API dient dem Abruf von Berichten zu freigegebenen Google-Analytics-4-Properties. Dazu können Property-Kennungen, Dimensionen und aggregierte Messwerte zu Seitenaufrufen, Ereignissen, Traffic-Quellen, Geräten und Regionen gehören. Verarbeitet werden nur Daten, auf die das autorisierte Konto Zugriff hat. Auswertungen können trotz Aggregation einen Personenbezug aufweisen.

Die API erfasst selbst keine zusätzlichen Website-Besuche. Die vorgelagerte Erhebung in den jeweiligen Unternehmenswebsites und dortige Einwilligungs- oder Tracking-Verfahren werden in deren eigenen Datenschutzhinweisen erläutert. Zur Prüfung: tatsächlich abgefragte Dimensionen, Messwerte, eventuelle Nutzerkennungen und Aufbewahrung exportierter Berichte.

5. Google OAuth 2.0 und Tokens

Die Anbindung eines Google-Kontos erfolgt in der jeweiligen geschützten internen Anwendung über Google OAuth 2.0. Berechtigte Personen sehen bei Google, welche Zugriffe angefordert werden, und erteilen dort die Freigabe. Ein Google-Passwort wird nicht auf dieser Informationswebsite abgefragt.

Je nach Autorisierungsverfahren werden Kontokennung, E-Mail-Adresse, erteilte Berechtigungen, kurzlebige Autorisierungscodes und Access-Tokens sowie gegebenenfalls Refresh-Tokens verarbeitet. Tokens ermöglichen API-Zugriffe im genehmigten Umfang. Die Speicherung erfolgt in der jeweiligen internen Integrationsumgebung, getrennt von dieser statischen Website. Zur Prüfung: tatsächlich verwendete Speicherorte, Verschlüsselungs- und Zugriffsschutzmaßnahmen, Token-Laufzeiten sowie Widerrufs-, Lösch- und Backupverfahren; diese Eigenschaften sind hier nicht als bereits nachgewiesen zugesichert.

Freigaben können im Google-Konto unter Verbindungen zu Drittanbietern widerrufen werden. Eine Löschung lokal gespeicherter Integrationsdaten kann beim Verantwortlichen angefragt werden. Der Widerruf bei Google ersetzt nicht automatisch die Löschung bereits gespeicherter Berichte oder Protokolle.

6. Zwecke und Rechtsgrundlagen

Die integrationsbezogene Verarbeitung dient der berechtigten internen Administration, Analyse und Absicherung eigener Onlineangebote. Soweit hierfür personenbezogene Daten erforderlich sind, kommt Art. 6 Abs. 1 lit. f DSGVO auf Grundlage der jeweils dokumentierten Interessenabwägung in Betracht. Bei Beschäftigtendaten ist gegebenenfalls § 26 BDSG zu prüfen. Eine OAuth-Freigabe ist zunächst eine technische Zugriffsberechtigung und nicht automatisch eine datenschutzrechtliche Einwilligung für jede weitere Verarbeitung.

Zur Prüfung: Für jeden tatsächlichen Verarbeitungsvorgang müssen die einschlägige Rechtsgrundlage, Interessenabwägung und gegebenenfalls Einwilligungsanforderungen verbindlich festgelegt werden. Eine Weiterverwendung für fremde Zwecke ist nicht Gegenstand dieser Beschreibung.

7. Empfänger, Hosting und Drittlandübermittlungen

Die Informationswebsite wird technisch über ChatGPT Sites bereitgestellt; die Sites-Infrastruktur verwendet Cloudflare. Die internen Anwendungen greifen auf Google-Dienste zu. Google weist für europäische Nutzer in seinen Datenschutzhinweisen Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als zuständige Stelle aus. Zugriff innerhalb des Unternehmens ist auf berechtigte Personen zu beschränken.

Vor Veröffentlichung zu bestätigen: genaue vertragliche Hosting-Stellen und Auftragsverarbeiter, Vertragsrollen und Vereinbarungen mit OpenAI, Cloudflare und Google, Verarbeitungsregionen und gegebenenfalls weitere Empfänger. Es wird kein ausschließlich europäischer Speicherort zugesichert.

Bei Zugriffen aus Drittländern oder Übermittlungen insbesondere in die USA sind die Voraussetzungen der Art. 44 ff. DSGVO zu erfüllen. Ob ein einschlägiger Angemessenheitsbeschluss, eine konkret gültige Zertifizierung oder Standardvertragsklauseln und ergänzende Maßnahmen die tatsächlichen Übermittlungen abdecken, ist vor Veröffentlichung anhand der verwendeten Verträge zu bestätigen.

8. Speicherdauer und Löschung

Daten sind nur so lange aufzubewahren, wie sie für die genannten Zwecke erforderlich sind oder eine gesetzliche Pflicht besteht. Nicht mehr benötigte Berechtigungen und Tokens sind zu widerrufen beziehungsweise aus der lokalen Speicherung zu entfernen. Berichte, Sicherheitsprotokolle und Sicherungskopien benötigen jeweils eigene Löschregeln.

Vor Veröffentlichung zu ergänzen: konkrete Fristen oder eindeutige Kriterien für Access- und Refresh-Tokens, API-Berichte, Sicherheits- und Zugriffsprotokolle, Sicherungskopien sowie der Prozess bei Trennung eines Google-Kontos. Es werden keine nicht belegten Löschfristen behauptet.

9. Rechte betroffener Personen

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20). Beruht eine Verarbeitung auf einer Einwilligung, kann diese jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt davon unberührt.

Widerspruch: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kann aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO Widerspruch eingelegt werden. Anfragen richten Sie bitte an info@solartechnik-nw.de.

Sie können sich zudem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Arbeitsplatzes oder des vermuteten Verstoßes. Für das Unternehmen in Niedersachsen ist die Landesbeauftragte für den Datenschutz Niedersachsen eine Anlaufstelle: www.lfd.niedersachsen.de.

10. Weiterführende Hinweise

Informationen von Google: Datenschutzerklärung und Google API Services User Data Policy. Die tatsächliche Umsetzung einschließlich etwaiger Limited-Use-Anforderungen ist vor einer OAuth-Prüfung mit diesen Vorgaben abzugleichen.