Otatel Prüfung starten
Rechtliches

Datenschutzerklärung

1. Verantwortlicher

HADBA e.K., Inhaber Mahmoud Qaddoura, Im Fischbeker Heidbrook 7, 21149 Hamburg, Deutschland. E-Mail: kontakt@hadba.net, Telefon +49 151 59985642.

2. Hosting und Server-Protokolle

otatel.com und alle Werkzeuge laufen auf einem von uns betriebenen Server bei IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Rechenzentrum Berlin). Beim Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung) zur Auslieferung der Seite und zur Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit). Die Verbindung ist TLS-verschlüsselt. Die Datenbank der Plattform wird bei Supabase Inc. (Rechenzentrum AWS, Region eu-west-1, Irland) betrieben; sie enthält ausschließlich die unter Abschnitt 5 genannten Daten des CRA-Werkzeugs (ausdrücklich gespeicherte Scans und Repository-Anbindungen, jeweils nur dem Hashwert eines Akten-Schlüssels zugeordnet; eine E-Mail-Adresse nur, wenn E-Mail-Benachrichtigungen eingerichtet sind).

3. Diese Seiten (Start, Werkzeuge, Methodik, Grenzen, Barrierefreiheit, Zusammenarbeit, Terminbuchung, Fristen-Erinnerung, Impressum, Datenschutz)

Schriften, Bilder und die für die Werkzeuge erforderlichen Skripte werden von unseren eigenen Servern geladen. Google Analytics wird erst nach Ihrer ausdrücklichen Einwilligung geladen (Abschnitt 3a). Ohne Einwilligung gibt es keine Verbindung zu Google für Nutzungsstatistiken. Außer der Terminbuchung (Abschnitt 3c) und der Fristen-Erinnerung (Abschnitt 3d) gibt es keine Formulare; Kontakt erfolgt sonst per E-Mail.

3a. Freiwillige Nutzungsstatistik mit Google Analytics

Auf otatel.com, nis2.otatel.com und cra.otatel.com verwenden wir nach Ihrer Einwilligung Google Analytics 4, angeboten von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit erkennen wir, welche Seiten besucht und welche Werkzeuge begonnen, abgeschlossen oder für einen PDF-Abruf genutzt werden, ob auf der Terminseite eine Zeit gewählt und ein Termin gebucht und ob die Fristen-Erinnerung angefordert und bestätigt wurde – ohne Datum, Uhrzeit, Name, E-Mail-Adresse oder Thema; übermittelt wird höchstens die feste Kennung der Seite, von der Sie zur Terminseite kamen (zum Beispiel „nis2-meldepflicht“). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Erfasst werden pseudonyme Browser- und Sitzungskennungen, feste Seiten- und Werkzeugnamen, Zeitpunkte sowie technische Geräte- und Verbindungsinformationen. IP-Adressen werden beim Verbindungsaufbau technisch verarbeitet; Google gibt an, sie in GA4 nicht zu protokollieren oder zu speichern. Wir übermitteln keine Fragebogen-Antworten, Ergebniswerte, Datei- oder Berichtsinhalte, Produktnamen, E-Mail-Adressen oder Akten-Schlüssel. URL-Parameter und frei eingegebene Suchbegriffe werden nicht übermittelt; bei der Herkunftsseite wird nur die Domain übertragen. Automatische Formularmessung, Google Signals und Werbepersonalisierung sind deaktiviert.

Ihre Auswahl speichern wir für 180 Tage im notwendigen Cookie otatel_statistics, das für alle drei Angebote gilt. Bei Zustimmung setzt Google die Cookies _ga und _ga_5ZFZYJQDZH für bis zu 60 Tage; wir verlängern diese Laufzeit nicht bei jedem Besuch. Die Aufbewahrung der nutzer- und ereignisbezogenen Analytics-Daten beträgt zwei Monate. Zusammengefasste Berichte können länger verfügbar bleiben.

Eine Verarbeitung durch Google LLC in den USA ist möglich. Google beruft sich bei Übermittlungen an zertifizierte US-Unternehmen auf den EU-US Data Privacy Framework und ergänzend auf Standardvertragsklauseln. Weitere Informationen finden Sie in Googles Datenschutzerklärung. Sie können die Einwilligung jederzeit über mit Wirkung für die Zukunft widerrufen. Dann wird die Messung in diesem Browser gestoppt und die Analytics-Cookies werden gelöscht. Bereits rechtmäßig verarbeitete Daten werden dadurch nicht rückwirkend entfernt. Alle Vorprüfungen bleiben auch ohne Statistik vollständig nutzbar.

Kontakt per E-Mail. Wenn Sie uns schreiben – etwa über „Ergebnis per E-Mail besprechen“ –, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO). Das Postfach kontakt@hadba.net wird bei Microsoft 365 (Microsoft Ireland Operations Ltd.) betrieben. Die Nachricht löschen wir, wenn die Anfrage erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Wir senden keine Werbe-E-Mails.

3c. Terminbuchung (otatel.com/termin)

Auf der Terminseite können Sie ein Gespräch über Ihr Ergebnis buchen. Dafür verarbeiten wir Ihren Namen, optional Ihre Firma, Ihre E-Mail-Adresse, das von Ihnen genannte Thema, die gewählte Zeit, die Sprache der Seite und die feste Kennung der Seite, von der Sie kamen. Zweck ist allein die Organisation dieses Gesprächs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahme auf Ihre Anfrage vor einem möglichen Vertrag).

Schutz vor Missbrauch. Statt eines Captcha-Dienstes prüfen wir ein für Menschen unsichtbares Feld und die Zeit zwischen Öffnen und Absenden des Formulars. Zusätzlich wird die Zahl der Anfragen je IP-Adresse kurzzeitig im Arbeitsspeicher gezählt; die Adresse wird dabei weder protokolliert noch gespeichert. Je E-Mail-Adresse ist ein kommender Termin möglich (Art. 6 Abs. 1 lit. f DSGVO).

Empfänger. Die Buchung wird in unserer Datenbank bei Supabase gespeichert (Speicherort: Rechenzentrum in Irland, Region eu-west-1). Für den Termin legen wir in unserem Kalender bei Microsoft 365 (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) einen Eintrag mit Microsoft-Teams-Besprechung an; Microsoft versendet die Kalendereinladung an Ihre E-Mail-Adresse und verarbeitet bei der Teilnahme die Verbindungsdaten der Besprechung. Bestätigung und Erinnerungen (24 Stunden und eine Stunde vor dem Termin) versenden wir über Resend (Resend Inc., USA) von der Adresse termine@otatel.com über Rechenzentren in der EU. Microsoft und Resend können Daten auch in den USA verarbeiten; Microsoft stützt sich dafür auf den EU-US Data Privacy Framework und Standardvertragsklauseln.

Speicherdauer. Name, Firma, E-Mail-Adresse und Thema werden 30 Tage nach dem Termin automatisch gelöscht; danach bleiben nur Zeitpunkt und Status ohne Bezug zu Ihrer Person. Der Kalendereintrag und die E-Mails liegen im Postfach von Mahmoud Qaddoura und werden gelöscht, wenn sie für die Zusammenarbeit nicht mehr gebraucht werden und keine gesetzliche Aufbewahrungspflicht besteht.

Cookies. Die Terminseite setzt kein Cookie; es gilt nur Ihre Auswahl zur Statistik (Abschnitt 3a). Zum Verschieben, Absagen oder Löschen Ihrer Angaben genügt eine Antwort auf die Bestätigung oder eine E-Mail an kontakt@hadba.net.

3d. Fristen-Erinnerung per E-Mail (otatel.com/fristen)

Wenn Sie die Fristen-Erinnerung anfordern, verarbeiten wir Ihre E-Mail-Adresse und die gewählten Themen (NIS2, CRA), um Ihnen höchstens einmal im Monat eine E-Mail zu Fristen und Änderungen sowie zu Angeboten der HADBA e.K. zu senden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink (gültig 48 Stunden); erst nach der Bestätigung tragen wir Sie ein (Double-Opt-in). Als Nachweis Ihrer Einwilligung speichern wir Zeitpunkt der Anfrage und der Bestätigung sowie die Version des Einwilligungstextes; vom Bestätigungslink speichern wir nur einen Hashwert. Missbrauchsschutz wie in Abschnitt 3c (unsichtbares Feld, Ausfüllzeit, Zählung je IP-Adresse im Arbeitsspeicher).

Versand und Abmeldung laufen über Resend (Resend Inc., USA; Rechenzentren in der EU): Nach Ihrer Bestätigung legen wir dort einen Kontakt mit Ihrer E-Mail-Adresse und den gewählten Themen an. Jede E-Mail enthält einen Link zur Abmeldung; Sie können die Einwilligung auch per E-Mail an kontakt@hadba.net jederzeit mit Wirkung für die Zukunft widerrufen. Unbestätigte Anfragen löschen wir nach sieben Tagen. Nach einer Abmeldung bewahren wir den Nachweis der Einwilligung drei Jahre auf (Nachweispflicht nach Art. 7 Abs. 1 DSGVO, Verjährungsfrist) und löschen ihn danach. Die Seite setzt kein Cookie.

4. NIS2-Werkzeug (nis2.otatel.com)

  • Plattform derzeit geschlossen. Anmeldung, Benutzerkonten und Programmierschnittstelle der Plattform sind zurzeit nicht erreichbar; öffentlich nutzbar sind nur die Vorprüfungen. Die Angaben zu Konto, Sitzung, Eingaben, Protokoll und Passwort-Prüfung gelten, sobald die Plattform wieder geöffnet ist, und für Daten, die vor der Schließung angelegt wurden.
  • Öffentliche Vorprüfungen (/check). Betroffenheit, Meldepflicht, Lieferanten-Triage und Maßnahmen-Crosswalk sind ohne Konto nutzbar. Die Eingaben werden zur Berechnung an den Server übertragen und nach der Antwort verworfen; sie werden nicht gespeichert und nicht an Google Analytics weitergegeben. Die optionale Nutzungsstatistik ist in Abschnitt 3a beschrieben. Zum Schutz vor Missbrauch wird die Zahl der Anfragen je Verbindung kurzzeitig im Arbeitsspeicher gezählt (IP-Adresse, nicht protokolliert). Die PDF-Vermerke der Betroffenheitsprüfung, der Meldepflicht-Prüfung und der Lieferanten-Triage werden beim Klick auf dem Server aus Ihren Eingaben erzeugt, sofort ausgeliefert und nicht gespeichert.
  • Benutzerkonto (Plattform). Nutzung nur mit Konto. Gespeichert werden E-Mail-Adresse, Passwort (als Argon2id-Hash) und das Geheimnis der Zwei-Faktor-Anmeldung (verschlüsselt, AES-256-GCM). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Sitzung. Die Anmeldeseite setzt ein technisch notwendiges Sitzungs-Cookie (JSESSIONID). Es schützt das Anmeldeformular gegen untergeschobene Anfragen und hält nach der Anmeldung die Sitzung; Skripte können es nicht lesen, und es endet, wenn Sie den Browser schließen (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Cookies, Tracking oder Inhalte von Drittservern gibt es nicht.
  • Eingaben und Ergebnisse. Die Antworten des Fragebogens werden als Eingabe-Snapshot zusammen mit dem Ergebnis, der Regelwerks-Version und der E-Mail-Adresse der bearbeitenden Person Ihrem Mandanten zugeordnet gespeichert, damit ein Ergebnis später reproduzierbar ist. Mandanten sind auf Datenbankebene voneinander isoliert.
  • Protokoll. Sicherheitsrelevante Aktionen werden mit Zeitpunkt, handelnder Person und IP-Adresse in einem unveränderlichen Protokoll festgehalten (Art. 6 Abs. 1 lit. c und f DSGVO).
  • Passwort-Prüfung. Beim Setzen eines Passworts wird geprüft, ob es in bekannten Datenlecks vorkommt. Dazu werden die ersten fünf Zeichen des SHA-1-Hashes an den Dienst „Have I Been Pwned“ (api.pwnedpasswords.com) übermittelt; das Passwort selbst verlässt den Server nicht (k-Anonymität).
  • Keine Weitergabe von Eingaben oder Ergebnissen an Dritte. Löschung auf Anfrage an die oben genannte E-Mail-Adresse; Konten werden mit ihren Daten entfernt.

5. CRA-Werkzeug (/cra)

  • Einstufung und Konformitätserklärung. Die Eingaben werden zur Berechnung an den Server übertragen und nach der Antwort verworfen; es findet keine Speicherung statt. Auch die PDF-Vermerke entstehen beim Klick im Arbeitsspeicher und werden nicht gespeichert. Ohne Konto nutzbar; die freiwillige Nutzungsstatistik folgt Abschnitt 3a.
  • Abhängigkeits-Scan (optional). Wenn Sie eine Abhängigkeitsdatei oder SBOM hochladen, werden die darin enthaltenen Paketnamen und Versionen an den Schwachstellendienst OSV.dev (betrieben von Google LLC, USA) übermittelt, um bekannte Schwachstellen abzugleichen. Dabei findet eine Übermittlung in ein Drittland statt; Grundlage sind die EU-Standardvertragsklauseln des Anbieters bzw. Ihre Einwilligung durch das aktive Hochladen (Art. 6 Abs. 1 lit. a DSGVO). Laden Sie keine Dateien hoch, die personenbezogene Daten enthalten. Optional können Bewertungen zusätzlich bei der US-Behörde NIST (NVD) abgefragt werden; dabei werden nur Schwachstellenkennungen übermittelt. Zur Priorisierung werden die gefundenen Schwachstellenkennungen (CVE-Nummern, keine Paketnamen) an den EPSS-Dienst von FIRST.org (Forum of Incident Response and Security Teams, Inc., USA) übermittelt; der Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA wird als Ganzes vom Server geladen, dabei wird nichts aus Ihrer Datei übermittelt.
  • Akten-Schlüssel. Wenn Sie einen Scan speichern oder ein Repository anbinden – und erst dann –, erzeugt Ihr Browser einen zufälligen Akten-Schlüssel und legt ihn im lokalen Speicher des Browsers ab (kein Cookie). Er wird bei Aufrufen von Verlauf und Überwachung mitgesendet; unser Server speichert nur einen Hashwert davon und ordnet Ihre Einträge damit Ihrem Browser zu, nicht einer Person. Ohne den Schlüssel sind die Einträge für niemanden sichtbar – auch nicht für andere Besucher. Die Ablage im Browser ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können den Schlüssel jederzeit in Ihrem Browser löschen; die Einträge sind dann nicht mehr erreichbar.
  • Verlauf. Wird ein Scan ausdrücklich im Verlauf gespeichert, liegen Bericht, Produktname und Zeitpunkt auf dem Server, bis Sie ihn in der Ablage selbst löschen oder die Löschung verlangen. Einträge aus der Zeit vor Einführung des Akten-Schlüssels (vor dem 27.09.2026) sind niemandem mehr zugeordnet, für niemanden sichtbar und werden 30 Tage nach ihrer Entstehung gelöscht.
  • Überwachung von Repositories. Wird ein GitHub-Repository zur laufenden Überwachung angebunden, speichern wir Repository-Name, Branch, Pfad und die Scan-Ergebnisse. Die Angabe einer E-Mail-Adresse ist freiwillig. Geben Sie eine an, speichern wir sie, um Sie über neu gefundene Schwachstellen zu benachrichtigen. Die Benachrichtigungen versendet der Dienst Resend (Resend Inc., USA) von der Adresse alerts@otatel.com; der Versand läuft über Rechenzentren in der EU (Region eu-west-1, Irland). Jede Benachrichtigung enthält einen Link, mit dem Sie die Anbindung samt E-Mail-Adresse entfernen. Eine Anbindung löschen Sie jederzeit selbst in der Ablage; zugehörige Meldungen und Scans werden mitgelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen angeforderte Leistung).
  • Schutz vor Missbrauch. Zur Abwehr von Überlastung wird die Zahl der Anfragen je IP-Adresse kurzzeitig im Arbeitsspeicher gezählt; die Zähler liegen nur im Arbeitsspeicher, werden nicht protokolliert und nicht dauerhaft gespeichert (Art. 6 Abs. 1 lit. f DSGVO).

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wenden Sie sich an kontakt@hadba.net. Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde, für uns zuständig: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.

7. Änderungen

Ändert ein Werkzeug, was es speichert oder wohin es Daten sendet, wird diese Erklärung in derselben Veröffentlichung angepasst.

Stand: 07.10.2026