Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher

Titus Hildebrand
Am Mühlbach 13, 93051 Regensburg
Telefon: 0176 83036085
E-Mail: post@titus-hildebrand.de

2. Erhebung und Speicherung personenbezogener Daten

a) Besuch der Website

Die Website liegt auf Servern der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Bei jedem Aufruf speichert STRATO automatisch Protokolldateien (Logfiles) mit Ihrer IP-Adresse, Datum und Uhrzeit, der aufgerufenen Adresse, dem HTTP-Statuscode, der übertragenen Datenmenge, der Seite, von der Sie gekommen sind, sowie Browser und Betriebssystem. Das dient dem sicheren und stabilen Betrieb, zum Beispiel um Angriffe zu erkennen. Rechtsgrundlage ist mein berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die vollständige IP-Adresse speichert STRATO höchstens sieben Tage, danach wird sie anonymisiert. Ich selbst kann die Protokolle nur mit anonymisierter IP-Adresse einsehen und sehe sie nur ein, wenn es eine Störung oder den Verdacht auf einen Angriff gibt.

b) Kontakt per E-Mail oder Telefon

Wenn Sie mir eine E-Mail schreiben oder mich anrufen, verarbeite ich Ihre Kontaktdaten und die Angaben aus Ihrer Nachricht, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag zielt, etwa ein Angebot für eine Website. Bei anderen Anfragen ist es mein berechtigtes Interesse, Ihnen zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Die E-Mails liegen in meinem Postfach bei der STRATO GmbH, und ich rufe sie direkt mit dem Mailprogramm auf meinen eigenen Geräten ab; sie werden nicht an andere Anbieter weitergeleitet. Ich lösche sie, sobald Ihre Anfrage erledigt ist, außer gesetzliche Aufbewahrungspflichten stehen dem entgegen, etwa für Unterlagen zu einem Auftrag.

c) Registrierung und Teilnahme an der Delphi-Studie

Die Delphi-Studie ist abgeschlossen; eine Registrierung ist nicht mehr möglich. Teilnehmen konnte man nur auf Einladung. Bei der Registrierung und während der Teilnahme wurden folgende Daten erhoben und in einer Datenbank auf Servern der STRATO GmbH gespeichert:

• Vollständiger Name
• E-Mail-Adresse
• Passwort, nur als bcrypt-Hash gespeichert (nicht umkehrbar); das Passwort selbst wird nicht gespeichert
• Bewertungen der Metamodell-Elemente (Beibehalten, Anpassen oder Entfernen) sowie Begründungen
• Selbsteinschätzung von Kenntnisstand und Bewertungssicherheit (Skala von 1 bis 5)
• Gegebenenfalls Vorschläge für zusätzliche Metamodell-Klassen und Antworten auf Fragen zu Bezeichnungen
• Angaben zum beruflichen Hintergrund (Runde 4): Branche, Rolle im Unternehmen, Berufserfahrung, Altersgruppe, Größe der Organisation sowie Erfahrung mit Geschäftsprozessmanagement und mit künstlicher Intelligenz. In der Arbeit erscheinen diese Angaben nur zusammengefasst, etwa als Verteilung über Branchen und Rollen.
• Zeitstempel der Einreichung

Rechtsgrundlage ist Ihre Einwilligung, die Sie bei der Registrierung erteilt haben (Art. 6 Abs. 1 lit. a DSGVO). Die Daten dienen ausschließlich der wissenschaftlichen Auswertung in meiner Masterarbeit „Applying Artificial Intelligence to Process Optimization: A Delphi Study on Business Process Improvement Patterns“ an der Universität Regensburg. Für die Auswertung habe ich die Antworten auf meinen Rechner übernommen. Alle Daten mit Namen lösche ich auf dem Server und auf meinem Rechner, sobald die Masterarbeit bewertet ist, spätestens am 31. März 2027. In der Arbeit erscheinen Antworten nur zusammengefasst und ohne Namen. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, am einfachsten, indem Sie Ihr Konto löschen (Menü unter Ihrem Namen, „Konto löschen“) oder mir schreiben. Dann lösche ich Ihre Antworten auch in meinen Auswertungsdateien. Ergebnisse, die bereits ohne Namen zusammengefasst sind, bleiben bestehen.

d) Beispielpattern aus der Praxis (Runde 5)

Runde 5 gehört nicht mehr zur Delphi-Studie, dient aber derselben Masterarbeit. Registrierte Teilnehmende konnten dort freiwillig einen Fall aus ihrer Praxis als Beispielpattern beschreiben. Gespeichert werden die Einträge zu den Attributen des Modells, verknüpft mit Ihrem Konto und dem Zeitpunkt der letzten Änderung, ebenfalls in der Datenbank bei der STRATO GmbH. Die Einträge sollen keine konkreten Zahlen, keine Namen von Personen und keine vertraulichen Details enthalten. Ein Beispielpattern kann in der Arbeit als einzelnes Fallbeispiel erscheinen. Bevor es übernommen wird, kann das betroffene Unternehmen es prüfen und freigeben. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einträge lösche ich wie die übrigen Studiendaten, sobald die Masterarbeit bewertet ist, spätestens am 31. März 2027.

e) Kundenbereich für Auftraggeber

Für Kunden, deren Website ich entwickle, gibt es einen geschützten Kundenbereich. Ein Zugang entsteht nur auf meine Einladung: Ich lege Firma und Ansprechpartner an und schicke einen Einladungslink, der sieben Tage gilt und mit dem Sie Ihr Passwort selbst festlegen. Im Kundenbereich verarbeite ich, ebenfalls in der Datenbank bei der STRATO GmbH:

• Name, E-Mail-Adresse und Passwort Ihres Zugangs (das Passwort nur als bcrypt-Hash)
• Ihre Antworten im Fragebogen zum Projekt, mit dem Zeitpunkt des Speicherns und des Absendens
• Dateien, die Sie hochladen, etwa Fotos, Logos und Unterlagen, mit ursprünglichem Dateinamen, Größe und Zeitpunkt. Bei Fotos bestätigen Sie vor dem Hochladen, dass erkennbare Personen mit der Veröffentlichung einverstanden sind; auch diese Bestätigung wird gespeichert.
• Rechnungen, die ich Ihnen dort bereitstelle
• ein Protokoll der Vorgänge, zum Beispiel wann ein Zugang eingerichtet, der Fragebogen abgesendet oder eine Datei hochgeladen wurde, ohne Dateinamen und ohne E-Mail-Adressen

Sobald Sie den Fragebogen absenden oder Dateien hochladen, bekomme ich eine E-Mail. Sie nennt Ihre Firma, das Projekt, Ihren Namen, den Vorgang und den Zeitpunkt, aber keine Antworten und keine Dateinamen. Rechtsgrundlage ist die Durchführung unseres Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Zugänge, Antworten, hochgeladene Dateien und das Protokoll lösche ich spätestens ein Jahr nach Abschluss des Projekts. Dateien und Ihren Zugang können Sie jederzeit selbst löschen, und die Löschung aller Daten können Sie jederzeit früher verlangen. Rechnungen bewahre ich so lange auf, wie das Steuerrecht es verlangt (Abschnitt f).

f) Aufträge und Rechnungen

Für Aufträge und Rechnungen führe ich eine Kundenverwaltung, ebenfalls auf dem Server der STRATO GmbH. Gespeichert werden Firma oder Name, Ansprechpartner, Anschrift, E-Mail-Adresse, Telefonnummer, ob Sie als Unternehmen oder als Privatperson beauftragen, meine Notizen zum Auftrag und die Rechnungen. Rechtsgrundlage ist die Durchführung unseres Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für Rechnungen zusätzlich die gesetzliche Pflicht, sie aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG). Rechnungen bewahre ich acht Jahre auf, gerechnet ab dem Ende des Jahres, in dem ich sie ausgestellt habe. Soweit das Steuerrecht es verlangt, erhält das Finanzamt diese Unterlagen. Die übrigen Kundendaten lösche ich, sobald ich sie für den Auftrag, Rückfragen oder Gewährleistung nicht mehr brauche und keine gesetzliche Aufbewahrungspflicht mehr gilt, in der Regel drei Jahre nach dem Ende des Jahres, in dem der Auftrag abgeschlossen wurde.

g) Schutz der Anmeldung

Damit niemand Passwörter ausprobieren oder einen fremden Zugang übernehmen kann, verarbeite ich bei der Anmeldung, bei „Passwort vergessen“ und beim Ändern eines Passworts, ebenfalls in der Datenbank bei der STRATO GmbH:

• Zähler für falsche Passwörter, je Zugang und je Internetadresse. Die Internetadresse und Anmeldenamen, zu denen es keinen Zugang gibt, speichere ich dafür nur als Prüfsumme, die mit einem geheimen Schlüssel gebildet wird. Zähler für Internetadressen lösche ich nach 24 Stunden, Zähler für Zugänge 30 Tage nach dem letzten Fehlversuch; ist ein Zugang nach sehr vielen Fehlversuchen gesperrt, bleibt sein Zähler bis zum neuen Passwort.
• ein Sicherheitsprotokoll mit Zeitpunkt und Art des Vorgangs (etwa Anmeldung, falsches Passwort, Passwort geändert, Konto gelöscht), dem betroffenen Zugang, der gekürzten Internetadresse (ohne ihren letzten Teil) und Browser und Betriebssystem in Kurzform. Passwörter und Links stehen nie darin, Anmeldenamen ohne Zugang nur als Prüfsumme. Das Protokoll lösche ich nach 90 Tagen; das gilt auch für Einträge zu einem gelöschten Konto.
• Links zum Festlegen eines neuen Passworts, nur als Prüfsumme; sie gelten 60 Minuten und nur einmal.
• Browser, mit denen Sie sich schon angemeldet haben: eine zufällige Kennung aus dem Cookie (siehe Abschnitt 3), in der Datenbank nur als Prüfsumme, mit Zeitpunkt der letzten Anmeldung. Ich lösche sie 180 Tage nach der letzten Nutzung.

Nach jeder Änderung Ihres Passworts bekommen Sie eine kurze E-Mail, damit Sie einen Missbrauch sofort bemerken. Häufen sich falsche Passwörter für einen Zugang oder wird ein Zugang gesperrt, bekomme ich eine E-Mail mit der Adresse dieses Zugangs, damit ich eingreifen kann. Wenn Sie ein neues Passwort festlegen, prüfe ich außerdem, ob es aus Datenlecks bekannt ist. Dazu geht nur der Anfang einer Prüfsumme des Passworts (5 von 40 Zeichen) an den Dienst Pwned Passwords von Have I Been Pwned, der über Cloudflare betrieben wird. Daraus lässt sich das Passwort nicht ermitteln, und weder Ihre E-Mail-Adresse noch Ihr Name noch Ihre Internetadresse werden übertragen. Rechtsgrundlage für all das ist mein berechtigtes Interesse, Zugänge vor Missbrauch zu schützen, und die Pflicht, Ihre Daten sicher zu verarbeiten (Art. 6 Abs. 1 lit. f und Art. 32 DSGVO).

3. Cookies und Session

Diese Website verwendet ausschließlich technisch notwendige Cookies. Das Session-Cookie (PHPSESSID) wird erst gesetzt, wenn Sie die Anmeldung oder „Passwort vergessen“ aufrufen, einen Link zum Kundenbereich oder für ein neues Passwort öffnen oder in der Studie oder im Kundenbereich die Sprache wechseln. Auf allen übrigen Seiten steht die Sprache in der Adresse (englische Seiten beginnen mit /en/), dafür braucht es kein Cookie. Das Session-Cookie erlischt nach dem Schließen des Browsers bzw. dem Abmelden; eine Anmeldung endet außerdem von selbst nach 30 Minuten ohne Aktivität (Studie: 60 Minuten). Wer die übrigen Seiten nur liest, erhält kein Cookie. Das Cookie enthält lediglich eine zufällige Kennung und dient ausschließlich der Anmeldesitzung, der gewählten Sprache und dem Schutz der Formulare. Nach einer erfolgreichen Anmeldung setzt die Seite ein zweites Cookie (__Host-device), das 180 Tage gilt, auch nach dem Abmelden. Es enthält nur eine zufällige Kennung und zeigt, dass sich dieser Browser schon einmal mit Ihrem Zugang angemeldet hat: Probiert jemand anderes Passwörter für Ihren Zugang aus, können Sie sich von hier trotzdem ohne Wartezeit anmelden (siehe Abschnitt 2g). Im Fragebogen des Kundenbereichs hält Ihr Browser noch nicht gespeicherte Eingaben zusätzlich im Speicher des geöffneten Tabs fest (sessionStorage), damit sie nach einer abgelaufenen Anmeldung nicht verloren gehen; diese Kopie verlässt Ihr Gerät nicht und verschwindet mit dem Schließen des Tabs. All das ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil es für die Anmeldung, die Sicherheit der Zugänge und die von Ihnen gewählte Sprache unbedingt nötig ist. Rechtsgrundlage für die Verarbeitung ist die Durchführung Ihrer Anmeldung und unseres Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie mein berechtigtes Interesse an sicheren Formularen und Zugängen (Art. 6 Abs. 1 lit. f DSGVO). Cookies für Tracking, Analyse oder Werbung verwende ich nicht.

4. Keine Inhalte von anderen Anbietern

Schriften, Gestaltung und Skripte dieser Website kommen ausschließlich von meinem eigenen Server. Beim Lesen der Seiten stellt Ihr Browser keine Verbindung zu anderen Anbietern her. Erst wenn Sie einen Link zu einer anderen Website anklicken, etwa zum App Store, zu Google Play oder zu einem Presseartikel, gelten dort die Datenschutzhinweise des jeweiligen Anbieters.

5. Empfänger Ihrer Daten

Ich verkaufe und vermiete keine Daten. Empfänger sind nur:

• die STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Sie betreibt Server, Datenbank und E-Mail-Postfach dieser Website in Rechenzentren in Deutschland und verarbeitet die Daten nur in meinem Auftrag, auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).
• Stellen, denen ich Daten aufgrund eines Gesetzes geben muss, etwa das Finanzamt bei Rechnungen.

Bei der Prüfung neuer Passwörter geht nur der Anfang einer Prüfsumme an den Dienst Pwned Passwords (Abschnitt 2g); daraus lassen sich weder das Passwort noch Ihre Person bestimmen. Ihre Daten werden nicht in Länder außerhalb der Europäischen Union übermittelt.

6. Ihre Rechte

Sie haben mir gegenüber das Recht,

• Auskunft über Ihre gespeicherten Daten zu verlangen (Art. 15 DSGVO),
• unrichtige Daten berichtigen zu lassen (Art. 16 DSGVO),
• Ihre Daten löschen zu lassen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 17 DSGVO). Ein Konto auf dieser Seite können Sie auch selbst löschen; Sie bekommen dann eine Bestätigung per E-Mail,
• die Verarbeitung einschränken zu lassen (Art. 18 DSGVO),
• Daten, die Sie mir gegeben haben und die ich aufgrund Ihrer Einwilligung oder unseres Vertrags automatisiert verarbeite, in einem gängigen, maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übermitteln zu lassen (Art. 20 DSGVO),
• eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO); was bis dahin geschehen ist, bleibt rechtmäßig,
• sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für mich zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de (neuer Tab).

Müssen Sie mir Daten geben?

Für einen Zugang brauche ich Ihren Namen, Ihre E-Mail-Adresse und ein Passwort; ohne sie kann ich keinen Zugang einrichten. Für einen Auftrag brauche ich die Angaben, die gesetzlich auf eine Rechnung gehören; ohne sie kann ich den Auftrag nicht annehmen. Die Teilnahme an der Studie war freiwillig. Alle weiteren Angaben sind freiwillig.

Automatisierte Entscheidungen

Ich treffe keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstelle keine Profile. Die Wartezeiten nach mehreren falschen Passwörtern sind eine technische Schutzmaßnahme und keine Entscheidung über Sie.

Zur Ausübung Ihrer Rechte genügt eine E-Mail an post@titus-hildebrand.de.

7. Datensicherheit

Diese Website überträgt alle Daten verschlüsselt (HTTPS); unverschlüsselte Aufrufe werden umgeleitet. Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Wer ein Passwort mehrmals falsch eingibt, muss zunehmend länger warten, und Anmeldungen enden nach einer Zeit ohne Aktivität (Abschnitt 2g). Der Datenbankzugriff ist auf den Webserver beschränkt und nicht öffentlich erreichbar.