BAIT Solution
Inhaber: Bünyamin Atik
Kleine Burgholzstr. 11
44145 Dortmund
info@bais-solutions.de
Datenschutz
Datenschutzhinweise.
Diese Hinweise beschreiben die Verarbeitung personenbezogener Daten auf der BAIS Website, bei Kontakt- und Academy-Anfragen sowie in geschützten Kunden-, Projekt- und Academy-Bereichen.
Technische Zugriffsdaten
Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angefragte Ressource, Browser-/Geräteinformationen und Statuscodes. Dies dient Auslieferung, Stabilität, Missbrauchsabwehr und IT-Sicherheit auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Plattform wird über Cloudflare-Dienste betrieben.
Anfragen in Cloudflare D1
Bei Kontakt- und Academy-Anfragen verarbeiten wir die von Ihnen eingegebenen Angaben, insbesondere Name, E-Mail, optional Unternehmen/Telefon, Thema bzw. Programm, Nachricht, Status und Eingangszeit. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und Art. 6 Abs. 1 lit. f DSGVO für allgemeine geschäftliche Kommunikation und Missbrauchsabwehr.
Technische Speicherdauer
Nicht in ein Vertrags-/Kundenverhältnis überführte offene Kontakt- und Academy-Anfragen werden technisch mit einem Löschtermin versehen. Aktuelle Standardwerte sind bis zu 365 Tage bei offenen, nicht umgewandelten Anfragen und 180 Tage nach Abschluss bzw. Ablehnung. Bei erneuter Bearbeitung wird der Termin aktualisiert. Gesetzliche Aufbewahrungspflichten, Vertragszwecke, Rechtsverteidigung oder ein dokumentierter Legal Hold können eine längere Speicherung rechtfertigen.
Academy-/Kundenkonto
Für ein Konto werden insbesondere Name, E-Mail, optional Unternehmen, Rolle, Kontostatus und Erstellungszeit verarbeitet. Passwörter werden nicht im Klartext gespeichert, sondern mit individuellem Salt und einem langsamen PBKDF2-HMAC-SHA256-Verfahren gehasht. Registrierung ist nur über einen einmaligen, zeitlich begrenzten Einladungslink möglich; in D1 wird davon nur ein Hash gespeichert.
Login, Session & Missbrauchsschutz
Die Anmeldung verwendet ein Secure-/HttpOnly-/SameSite-Session-Cookie. Sitzungen sind serverseitig zeitlich begrenzt und werden bei Inaktivität beendet. Zur Erkennung einer unerwarteten Session-Übernahme wird ein Hash des User-Agent-Kontexts gespeichert. Login-/Registrierungs-Limits verwenden einen Hash aus technischen Merkmalen statt einer separaten Klartext-IP-Liste. Abgelaufene Sessions und Rate-Limit-Datensätze werden technisch bereinigt.
Zweiter Faktor für Administratoren
Administratorfunktionen erfordern zusätzlich zur Passwortanmeldung einen zeitbasierten Einmalcode (TOTP) oder einen einmalig nutzbaren Recovery-Code. Das TOTP-Secret wird nicht im Klartext gespeichert, sondern serverseitig mit AES-GCM verschlüsselt. Recovery-Codes werden nur gehasht gespeichert. Bereits erfolgreich verwendete TOTP-Zeitfenster werden serverseitig nicht erneut akzeptiert. Ohne bestätigten zweiten Faktor bleiben Admin-APIs und das Control Center gesperrt.
Kunden-Nr. & Projekt-Nr.
Für freigegebene Konten werden eine interne Kunden-Nr. und projektbezogene Projekt-Nrn. erzeugt. Sie dienen eindeutiger Zuordnung von Organisation, Projekt, Angebot, Abnahme und späteren Betriebs-/Abrechnungsprozessen. Kundendaten werden serverseitig über die jeweilige Organisation und Projektzugehörigkeit getrennt; normale Kunden erhalten keinen Zugriff auf fremde Organisationen oder Projekte.
Angebot, Abnahme & Project-Portal-Dateien
Kundenbezogene Angebots-/SOW- und Abnahmeseiten sind nicht öffentlich abrufbar und erfordern eine gültige Sitzung. Project-Portal-Dateien werden in einem privaten Cloudflare-R2-Objektspeicher abgelegt. Upload und Download erfolgen über kurzlebige, objektbezogene Signaturen; der Bucket ist nicht öffentlich. Vor der Registrierung eines Uploads werden Projektzuordnung, Dateityp und tatsächliche Dateigröße serverseitig geprüft. Temporäre Upload-Objekte werden automatisiert bereinigt. Portal-Antworten werden mit No-Store-Regeln ausgeliefert; Zugriffe bleiben organisations- und projektbezogen getrennt.
Lernfortschritt & Nachweise
Bei freigegebenen Academy-Konten werden Kurszuordnungen, Lernfortschritt, Modul-/Lab-Status, Assessment-Ergebnisse und ausgestellte Nachweise gespeichert, soweit dies für Durchführung, Nachweis und Qualitätssicherung erforderlich ist. Diese Daten sind im persönlichen Konto bzw. im geschützten Admin-Bereich zugänglich.
Einladungszustellung über Resend
Soweit der transaktionale E-Mail-Versand aktiviert ist, wird eine freigegebene Academy-Einladung serverseitig über Resend (Plus Five Five, Inc.) versendet. Dafür werden die Empfänger-E-Mail-Adresse, Name, Programmbezeichnung sowie der einmalige, zeitlich begrenzte Registrierungslink verarbeitet. Der Link wird nicht in öffentlichen Logs oder der Admin-Oberfläche ausgegeben. Resend veröffentlicht einen Data Processing Addendum mit Standardvertragsklauseln; nach Anbieterangaben werden E-Mail-Inhalte und Delivery-Logs in den USA verarbeitet. Ohne konfigurierte Versand-Credentials wird die Freigabe fail-closed zurückgerollt und keine Einladung veröffentlicht.
Öffentlicher Prüfcode, minimierte Anzeige
Ein BAIS-Nachweis kann über einen zufällig erzeugten Prüfcode validiert werden. Die öffentliche Prüfung zeigt Status, Programm, Ausstellungsdatum und nur eine maskierte Inhaberanzeige (Initialen), nicht den vollständigen Namen. Prüfantworten werden nicht öffentlich zwischengespeichert und der Prüfbereich verwendet eine strenge Referrer-Policy.
Cloudflare Turnstile
Öffentliche Formulare verwenden Cloudflare Turnstile zur Erkennung automatisierter oder missbräuchlicher Anfragen. Dabei können technische Verbindungs-, Browser- und Sicherheitsmerkmale durch Cloudflare verarbeitet werden. Grundlage ist Art. 6 Abs. 1 lit. f DSGVO zur Sicherung der Systeme.
Privacy-minimierte Qualifizierung
Kontakt- und Academy-Anfragen können automatisiert über eine BAIS-n8n-Instanz eingeordnet werden. Name, E-Mail-Adresse, Telefonnummer und Unternehmen sowie der freie Nachrichtentext werden hierfür nicht an n8n übertragen. Übermittelt werden nur minimierte Geschäftssignale, das ausgewählte Thema und technische Metadaten wie Nachrichtenlänge. Die eigentlichen Kontaktdaten verbleiben in Cloudflare D1.
RepoCloud
Die derzeitige BAIS-n8n-Instanz wird über RepoCloud, LLC bereitgestellt. Für die öffentliche Lead-/Academy-Qualifizierung erhält diese Instanz nur privacy-minimierte Metadaten. Sollen in einem konkreten Kundenprojekt personenbezogene Daten über n8n oder andere Drittanbieter verarbeitet werden, werden AVV, Subprozessoren, Datenregion und gegebenenfalls Drittlandtransfer-Mechanismen projektspezifisch geprüft.
AVV / DPA
Soweit BAIS personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet, wird – sofern erforderlich – ein gesonderter Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. Das BAIS-Muster mit TOMs und Subprozessoren ist unter AVV / DPA einsehbar.
Keine Marketing-Analytics
Die aktuelle Website setzt kein eigenes Marketing-Tracking und kein Web-Analytics-System ein. Technisch erforderliche Sicherheits-/Session-Funktionen bleiben hiervon unberührt.
Auskunft & Datenschutzanfragen
Eingeloggte Nutzer können im Bereich „Mein Konto“ eine strukturierte Kopie ihrer zugeordneten Daten herunterladen und Anfragen auf Löschung, Berichtigung, Einschränkung, Widerspruch oder Datenübertragbarkeit erfassen. Eine Löschung erfolgt nur, soweit keine vorrangigen gesetzlichen, vertraglichen oder Rechtsverteidigungsgründe entgegenstehen.
Vertrag, berechtigtes Interesse, Rechtspflichten
Je nach Verarbeitung stützen wir uns insbesondere auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Missbrauchsabwehr, sachgerechte Geschäftskommunikation) und Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Pflichten erfüllt werden müssen.
Aufsichtsbehörde
Betroffene Personen haben das Recht, sich nach Maßgabe von Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde zu beschweren. Unabhängig davon können Datenschutzanfragen direkt an BAIT Solution gerichtet werden.