Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Vertretungsberechtigt siehe Impressum.

2. Allgemeine Hinweise

HSB ONE ist die gemeinsame Bezeichnung für die digitalen Dienste der HSB - Seefeldt GmbH: die login-geschützte Anwendung unter app.hsb-one.de, das öffentliche KORA-Serviceportal unter service.hsb-one.de und den Badcheck-Konfigurator (derzeit als Entwicklungs- und Teststand unter badcheck-dev.hsb-one.de). Diese Erklärung beschreibt die Verarbeitung über alle genannten Dienste hinweg; produktspezifische Besonderheiten stehen in eigenen Abschnitten. Der Aufruf dieser beiden Rechtsseiten selbst erfordert keine Registrierung und lädt keine Inhalte Dritter.

3. Hosting und Server-Logfiles

Alle genannten Dienste werden bei Hostinger gehostet. Beim Aufruf einer Seite erhebt der Hosting-Anbieter automatisiert technische Zugriffsdaten, die Ihr Browser übermittelt, typischerweise:

• IP-Adresse des zugreifenden Geräts
• Datum und Uhrzeit der Anfrage
• abgerufene URL und übertragene Datenmenge
• Referrer-URL, Browsertyp und Betriebssystem
• HTTP-Statuscode der Antwort

Diese Server-Logfiles dienen dem störungsfreien und sicheren Betrieb sowie der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Eine konkrete, unternehmensweit dokumentierte Löschfrist für diese Logfiles konnten wir zum Zeitpunkt der Erstellung dieser Erklärung nicht abschließend verifizieren; sie werden nach dem Grundsatz der Speicherbegrenzung nur so lange vorgehalten, wie dies für die genannten Zwecke erforderlich ist. Ob mit Hostinger für die konkret betroffenen Verarbeitungen ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen ist, war mit den uns verfügbaren Mitteln nicht abschließend zu verifizieren.

4. Rechtsgrundlagen

Je nach konkretem Verarbeitungszweck stützen wir uns insbesondere auf:

• Art. 6 Abs. 1 lit. b DSGVO – für die Anmeldung und Nutzung von app.hsb-one.de, für die Bearbeitung einer KORA-Störungsmeldung und für Kontaktaufnahmen mit vertraglichem oder vorvertraglichem Bezug.
• Art. 6 Abs. 1 lit. f DSGVO – für Server-Logfiles, Missbrauchsschutz (z. B. die Ratenbegrenzung bei KORA), technisch notwendige Anfragen an eingebundene Drittdienste sowie sonstige geschäftliche Kommunikation ohne unmittelbaren Vertragsbezug.
• Art. 6 Abs. 1 lit. c DSGVO – soweit im Einzelfall gesetzliche Aufbewahrungspflichten bestehen.

Eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) ist derzeit für keine der in dieser Erklärung beschriebenen Verarbeitungen die maßgebliche Rechtsgrundlage. Führen wir künftig einen Verarbeitungsschritt ein, der auf einer Einwilligung beruht, ergänzen wir diese Erklärung entsprechend, bevor er aktiv wird.

5. HSB ONE / app.hsb-one.de

Unter app.hsb-one.de betreiben wir die interne, login-geschützte Anwendung HandwerkerPro. Die Seite ist per robots.txt und X-Robots-Tag von der Indexierung durch Suchmaschinen ausgeschlossen; ein Zugang wird ausschließlich durch uns eingerichtet.

Bereits die Anmeldeseite lädt die Programmbibliothek „supabase-js“ vom externen Auslieferungsdienst unpkg.com (siehe Abschnitt 13); dabei wird Ihre IP-Adresse an dessen Betreiber übertragen. Für die Anmeldung selbst nutzen wir Supabase Auth: nach einer erfolgreichen Anmeldung legt der Browser ein Sitzungs-Token (Access- und Refresh-Token) im Local Storage ab, damit die Sitzung erhalten bleibt und sich automatisch erneuert, ohne dass Sie sich bei jedem Seitenaufruf erneut anmelden müssen. Dieser Speichervorgang ist für die von Ihnen genutzte Login-Funktion technisch erforderlich (Art. 6 Abs. 1 lit. b DSGVO, nicht Einwilligung) und wird gelöscht, wenn Sie sich abmelden oder den lokalen Speicher Ihres Browsers leeren.

6. Supabase

Als Backend-Dienst für Anmeldung (app.hsb-one.de) und für die Datenverarbeitung von KORA nutzen wir Supabase, Produktionsprojekt „HANDWERKERPro“ (Projekt-Referenz ftqqpbvwveymfutalevu). Die primäre Datenbank- und Speicherregion dieses Projekts liegt in Stockholm, Schweden (EU). Das bedeutet nicht zwingend, dass jede damit verbundene Verarbeitung – etwa Support, Monitoring oder sonstige Nebenprozesse des Anbieters – ausschließlich in der EU stattfindet; dies konnten wir mit den uns verfügbaren Mitteln nicht vollständig verifizieren (siehe Abschnitt 14). Zugriffe auf unsere Daten erfolgen ausschließlich über eng begrenzte, serverseitig geprüfte Funktionen; ein direkter Lese- oder Schreibzugriff auf unsere Datenbanktabellen von außen ist nicht möglich. Ob und in welchem Umfang ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO mit Supabase besteht, war zum Zeitpunkt der Erstellung dieser Erklärung nicht abschließend zu verifizieren.

7. KORA / service.hsb-one.de

KORA ist unser digitales Anlagen- und Serviceportal unter service.hsb-one.de. Jede von uns gewartete Anlage erhält einen eigenen, nicht erratbaren Zugriffsschlüssel (technisch eine UUID), der über einen QR-Code auf der Anlage bereitgestellt wird. Die für Menschen lesbare Anlagenkennung (z. B. „ANL-000123“) ist keine gültige Zugriffskennung.

Die öffentliche Serviceseite kann ohne Benutzerkonto genutzt werden. Nach unserem aktuellen technischen Kenntnisstand legt KORA dabei keine Cookies, kein Local Storage und kein Session Storage in Ihrem Browser an – eine produktseitige dauerhafte Wiedererkennung über mehrere Besuche hinweg findet insoweit nicht statt. Das schließt nicht aus, dass beim Seitenaufruf selbst technische Daten wie Ihre IP-Adresse in Server-Logfiles (siehe Abschnitt 3) oder bei den unten genannten externen Diensten anfallen.

KORA lädt zur technischen Anbindung an unser Backend ebenfalls die Programmbibliothek „supabase-js“ vom externen Auslieferungsdienst unpkg.com (siehe Abschnitt 13); dabei wird Ihre IP-Adresse an dessen Betreiber übertragen.

8. KORA Störungsmeldungen und Uploads

Über KORA können Sie für Ihre Anlage online eine Störung melden. Dabei verarbeiten wir je nach Ihren Angaben:

• Art der Störung sowie ggf. einen Fehlercode
• Ihre Freitext-Beschreibung und den Zeitpunkt, seit dem die Störung besteht
• Status von Heizung, Warmwasser und einem möglichen Komplettausfall
• optional bis zu sechs Fotos (JPG oder PNG, max. 8 MB je Datei, Stand des aktuell live geprüften Formulars)
• optional Name, Telefonnummer, E-Mail-Adresse, bevorzugte Erreichbarkeit und ob ein Rückruf gewünscht wird
• technische Metadaten wie Zeitpunkt der Meldung und die zugehörige Anlagenkennung

Die Störungsbeschreibung ist erforderlich, damit wir Ihre Meldung bearbeiten können; alle übrigen Angaben sind freiwillig. Fehlen Kontaktdaten, können wir Sie ggf. nicht direkt zurückmelden. Diese Angaben werden zur Bearbeitung Ihrer Störungsmeldung an die HSB - Seefeldt GmbH übermittelt und dort verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Anonyme Zugriffe auf KORA sind zusätzlich durch eine technische Ratenbegrenzung gegen automatisierten Missbrauch geschützt; dabei werden für einen kurzen Zeitraum Zähler zu Zugriffen pro Client und pro Anlage geführt (Art. 6 Abs. 1 lit. f DSGVO).

Hochgeladene Fotos werden in einem privaten, nicht öffentlich zugänglichen Speicherbereich (Supabase Storage) abgelegt und dem jeweiligen Vorgang zugeordnet. Ein Zugriff darauf ist ausschließlich über die gleichen eng begrenzten Backend-Funktionen möglich wie auf die übrigen KORA-Daten.

9. Badcheck

Badcheck ist ein interaktiver Konfigurator, mit dem Sie unverbindlich eine erste Budgetorientierung für eine Badsanierung erhalten. Er ist unter badcheck-dev.hsb-one.de derzeit als Entwicklungs- und Teststand veröffentlicht, noch kein abgeschlossenes öffentliches Produkt.

Ihre Angaben (z. B. Projektart, Ausstattungswünsche, Budgetrahmen, Postleitzahl sowie optional Kontaktdaten, Fotos oder Grundrisse) werden im Session Storage Ihres Browsers unter dem Namen hsb-badcheck-state-v1 zwischengespeichert, sobald Sie den vorgeschalteten Hinweisen zugestimmt haben. Dies dient ausschließlich dazu, dass Sie den Konfigurator schrittweise ausfüllen und die Seite neu laden können, ohne von vorn zu beginnen; der Speicher wird automatisch gelöscht, sobald Sie den Browser-Tab schließen, und zusätzlich sofort, wenn Sie auf „Startseite“ klicken.

Für die Darstellung der Überschriften wird die Schriftart „Fraunces“ über Google Fonts nachgeladen (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei wird Ihre IP-Adresse an Google übertragen; eine Verarbeitung im Konzernverbund, auch außerhalb der EU, kann nicht ausgeschlossen werden (siehe Abschnitt 14). Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen und performanten Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Weitere Informationen: Datenschutzerklärung von Google.

10. Kontakt per E-Mail/Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, Kontaktdaten, Inhalt der Nachricht) zur Bearbeitung Ihres Anliegens und für den Fall etwaiger Anschlussfragen. Steht die Kontaktaufnahme im Zusammenhang mit einem bestehenden oder angebahnten Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; bei sonstiger geschäftlicher Kommunikation Art. 6 Abs. 1 lit. f DSGVO. Wir geben diese Daten nur weiter, soweit dies zur Bearbeitung Ihres Anliegens, zur Vertragserfüllung, aufgrund einer gesetzlichen Verpflichtung oder über einen der in Abschnitt 13 genannten Auftragsverarbeiter erforderlich ist.

11. WhatsApp

Im KORA-Serviceportal kann Ihnen ein Link angeboten werden, der die WhatsApp-Anwendung mit einer vorausgefüllten Nachricht öffnet (ein gewöhnlicher wa.me-Link). Erst wenn Sie diesen Link tatsächlich anklicken und darüber eine Nachricht versenden, entsteht eine Verbindung zum externen Dienst WhatsApp; ob und mit welchem Inhalt Sie die Nachricht versenden, entscheiden ausschließlich Sie. Beim tatsächlichen Versand verarbeiten sowohl WhatsApp als auch wir die dabei übermittelten Daten, insbesondere Ihre Telefonnummer, sichtbare Profil-/Kontaktdaten, den Nachrichteninhalt und die darin enthaltene Anlagenkennung. Anbieter von WhatsApp ist WhatsApp Ireland Limited, mutmaßlich mit Konzernverbindung zu Meta Platforms, Inc. (USA); ob und welche konkreten Garantien (z. B. Standardvertragsklauseln) für eine damit einhergehende Drittlandübermittlung bestehen, haben wir nicht verifiziert – maßgeblich sind insoweit die Datenschutzhinweise von WhatsApp selbst.

12. Cookies / Endgerätespeicher

Wir setzen auf keinem der genannten Dienste Cookies, Tracking- oder Marketing-Cookies, Analytics oder sonstige Wiedererkennung über mehrere Besuche hinweg ein. Speicherung/Zugriff auf Informationen in Ihrer Endeinrichtung im Sinne des § 25 TDDDG findet ausschließlich technisch notwendig und produktspezifisch statt:

• app.hsb-one.de: Local Storage für das Supabase-Anmelde-Token, ausschließlich nach einer erfolgreichen Anmeldung (siehe Abschnitt 5).
• KORA (service.hsb-one.de): keine Speicherung in Cookies, Local Storage oder Session Storage (siehe Abschnitt 7).
• Badcheck: Session Storage unter dem Namen hsb-badcheck-state-v1 (siehe Abschnitt 9).

Da es sich in allen Fällen um für die jeweils von Ihnen ausdrücklich genutzte Funktion technisch unbedingt erforderliche Speicherung ohne Tracking- oder Analysezweck handelt, ist hierfür keine gesonderte Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG erforderlich. Sollten wir künftig nicht unbedingt erforderliche Speicherung einführen, holen wir vorher Ihre Einwilligung ein.

13. Empfänger, Auftragsverarbeiter und externe Dienste

Innerhalb der HSB - Seefeldt GmbH erhalten nur diejenigen Mitarbeitenden Zugriff auf Ihre Daten, die diese zur Bearbeitung Ihres Anliegens benötigen. Eine Weitergabe zu Werbezwecken findet nicht statt. Folgende externe Stellen sind an der technischen Bereitstellung unserer Dienste beteiligt:

• Hostinger – Hosting-Anbieter für alle genannten Domains (siehe Abschnitt 3).
• Supabase – Datenbank-, Auth- und Speicherdienst für app.hsb-one.de und KORA (siehe Abschnitt 6).
• unpkg.com – externer Auslieferungsdienst (CDN), von dem die Programmbibliothek „supabase-js“ sowohl auf app.hsb-one.de als auch bei KORA geladen wird; hierbei handelt es sich technisch um einen externen Ressourcenanbieter, nicht um einen von uns beauftragten Auftragsverarbeiter für Ihre personenbezogenen Daten.
• Google Fonts – Schriftart-Nachladung ausschließlich bei Badcheck (siehe Abschnitt 9); ebenfalls ein externer Ressourcenanbieter, kein von uns beauftragter Auftragsverarbeiter.
• WhatsApp Ireland Limited – nur bei tatsächlicher Nutzung des in Abschnitt 11 beschriebenen Links; als eigenständig Verantwortlicher für die von Ihnen dort übermittelten Daten, kein Auftragsverarbeiter von uns.

Ob mit Hostinger und Supabase für die jeweils betroffene Verarbeitung ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen ist, konnten wir mit den uns verfügbaren Mitteln nicht abschließend verifizieren (siehe REVIEW_REQUIRED im internen Abschlussbericht).

14. Drittlandübermittlungen

Die primäre Datenbank- und Speicherregion für app.hsb-one.de und KORA liegt in Stockholm, Schweden (EU); Nebenprozesse des Anbieters außerhalb der EU können wir nicht ausschließen (siehe Abschnitt 6). Beim Nachladen der Programmbibliothek „supabase-js“ von unpkg.com (app.hsb-one.de und KORA) und beim Nachladen von Google Fonts (Badcheck) kann Ihre IP-Adresse an Server außerhalb der EU/des EWR übertragen werden; der genaue Serverstandort des CDN unpkg.com ist für uns nicht verbindlich feststellbar. Bei tatsächlicher Nutzung des WhatsApp-Links (Abschnitt 11) kann eine Verarbeitung durch WhatsApp/Meta auch außerhalb der EU erfolgen. Wir können nicht bestätigen, dass für jede dieser Übermittlungen konkrete Garantien (z. B. Standardvertragsklauseln) vorliegen, da uns die dafür erforderlichen vertraglichen Unterlagen der jeweiligen Anbieter nicht vollständig vorliegen. Eine pauschale Aussage, dass sämtliche Daten ausschließlich in Deutschland oder der EU verarbeitet werden, können wir vor diesem Hintergrund nicht treffen.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist, oder solange gesetzliche Aufbewahrungspflichten bestehen. Für KORA-Störungsmeldungen und die zugehörigen Fotos steht die technische Funktion zur dauerhaften Löschung nach Abschluss eines Vorgangs bereit; eine unternehmensweit einheitlich dokumentierte feste Löschfrist für diese und weitere Datenkategorien (z. B. Server-Logfiles, Auth-Daten, Kontaktanfragen) ist derzeit organisatorisch noch nicht abschließend festgelegt.

16. Betroffenenrechte

Ihnen stehen gegenüber uns hinsichtlich Ihrer personenbezogenen Daten grundsätzlich folgende Rechte zu, soweit die jeweiligen gesetzlichen Voraussetzungen vorliegen:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit, soweit die Voraussetzungen von Art. 20 DSGVO erfüllt sind

Zur Ausübung dieser Rechte können Sie sich jederzeit an die im Abschnitt „Verantwortlicher“ genannten Kontaktdaten wenden.

17. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir personenbezogene Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten – etwa bei Server-Logfiles, der Ratenbegrenzung bei KORA oder sonstiger geschäftlicher Kommunikation – haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen diese Verarbeitung Widerspruch einzulegen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

18. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts. Für die HSB - Seefeldt GmbH ist die folgende Behörde zuständig:

19. Datensicherheit

Diese Website und die genannten Dienste nutzen TLS-Verschlüsselung für die Übertragung. Eine verschlüsselte Verbindung erkennen Sie am Schlosssymbol in der Adresszeile Ihres Browsers und daran, dass die Adresszeile mit „https://“ beginnt. Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten; ein vollständiger Schutz vor jedem denkbaren Zugriff Dritter lässt sich technisch jedoch nicht garantieren.

20. Stand dieser Erklärung

Stand: 11. September 2026. Wir passen diese Datenschutzerklärung an, sobald sich die tatsächlich eingesetzte Technik oder die Rechtslage ändert.

Nach oben