Datenschutz­erklärung

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne des Art. 4 Nr. 7 DSGVO ist:

Elaman GmbH, Implerstraße 24, 81371 München, Deutschland

Telefon: +49 89 24209180 · E-Mail: info@elaman.de

Diese Website verwendet keine Webanalyse, kein Tracking und keine Profilbildung. Es sind keine Dienste Dritter eingebunden – weder Kartendienste noch Schriftarten, Videos oder Social-Media-Elemente, die von externen Servern geladen würden. Alle Schriftarten werden von unserem eigenen Server ausgeliefert.

Die öffentlichen Seiten setzen keine Cookies. Nur im Kundenportal werden zwei technisch notwendige Cookies gesetzt; welche das sind, steht weiter unten.

Technisch ist das durch eine Content Security Policy abgesichert, die Verbindungen ausschließlich zur eigenen Domain zulässt. Es findet daher auch keine Datenübermittlung an Werbenetzwerke statt.

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Daten, die in den Protokolldateien unseres Hosting-Dienstleisters erfasst werden: die IP-Adresse des anfragenden Geräts, Datum und Uhrzeit des Zugriffs, die aufgerufene Adresse, der HTTP-Statuscode, die übertragene Datenmenge sowie Angaben zu Browser und Betriebssystem.

Diese Verarbeitung ist erforderlich, um die Website bereitzustellen, ihre Stabilität zu gewährleisten und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Eine Zusammenführung dieser Daten mit anderen Datenquellen oder eine Auswertung zu Werbezwecken findet nicht statt.

Die Protokolldaten werden nur so lange gespeichert, wie es für den sicheren Betrieb der Website erforderlich ist, und anschließend gelöscht. Eine längere Aufbewahrung erfolgt ausschließlich, wenn ein konkreter Sicherheitsvorfall untersucht werden muss.

Wenn Sie das Formular auf dieser Website nutzen, verarbeiten wir die von Ihnen eingegebenen Angaben: Vorname sowie E-Mail-Adresse und Ihre Nachricht als Pflichtfelder, Nachname, Unternehmen, Telefonnummer und das gewählte Thema Ihrer Anfrage als freiwillige Angaben. Wir verwenden diese Daten ausschließlich, um Ihre Anfrage zu bearbeiten und Ihnen zu antworten; Ihre Telefonnummer nutzen wir nur, um Sie zu Ihrer Anfrage zurückzurufen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung geschäftlicher Anfragen. Die Angabe der Daten ist freiwillig; ohne Vorname, E-Mail-Adresse und Nachricht können wir Ihre Anfrage jedoch nicht beantworten.

Das Formular enthält ein für Sie unsichtbares Feld zur Abwehr automatisierter Einsendungen. Zusätzlich begrenzen wir die Zahl der Einsendungen kurzzeitig anhand eines aus der IP-Adresse abgeleiteten Werts; dieser Zähler wird nur kurz vorgehalten und spätestens nach zwei Tagen gelöscht.

Die Verarbeitung der Formulardaten durch unseren Hosting-Dienstleister erfolgt in einem Rechenzentrum in Frankfurt am Main. Ihre Anfrage wird per E-Mail an unser Postfach übermittelt und dort so lange aufbewahrt, wie es zur Bearbeitung erforderlich ist. Anschließend löschen wir sie, sofern keine handels- oder steuerrechtlichen Aufbewahrungspflichten entgegenstehen.

Unter „Login“ erreichen Sie ein geschlossenes Portal. Zugänge vergeben wir einzeln; eine Selbstregistrierung gibt es nicht. Zu einem Konto verarbeiten wir: Name, E-Mail-Adresse, die Behörde, der der Zugang zugeordnet ist, die Rolle (Elaman-Mitarbeitende oder Kunde), die Sprache Ihrer Korrespondenz, den Status des Kontos sowie den Zeitpunkt der letzten Anmeldung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Der Zugang dient der Anbahnung oder Durchführung des Vertragsverhältnisses mit Ihrer Behörde. Soweit wir Zugänge zur Absicherung des Portals protokollieren und begrenzen, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse am Schutz nicht öffentlicher Unterlagen.

Ihr Kennwort speichern wir nicht im Klartext, sondern ausschließlich als scrypt-Hash. Kunden senden wir bei jeder Anmeldung zusätzlich einen einmaligen Code an ihre E-Mail-Adresse, ebenso wenn sie eine Änderung an ihrem Konto bestätigen; der Code gilt zehn Minuten und nur einmal, wir speichern ihn nur als Hash und löschen ihn spätestens nach zwei Tagen. Elaman-Mitarbeitende melden sich stattdessen mit einer Authenticator-App an, für die ein Geheimnis gespeichert wird; ihre Wiederherstellungscodes liegen nur als Hash vor und sind nach der einmaligen Anzeige nicht wiederherstellbar. Niemand bei Elaman kann Ihr Kennwort oder Ihre Codes einsehen.

Haben Sie als Kunde Ihr Kennwort vergessen, speichern wir Ihre Anfrage mit Zeitpunkt und IP-Adresse, bis wir Sie zur Bestätigung angerufen und den Link verschickt oder die Anfrage verworfen haben, höchstens sieben Tage.

Kontodaten speichern wir für die Dauer der Zugangsberechtigung. Wird ein Zugang deaktiviert, bleibt das Konto zunächst bestehen, damit nachvollziehbar bleibt, wem welche Unterlagen freigegeben waren; es wird gelöscht, wenn die Geschäftsbeziehung endet und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Sie können Ihr Konto im Portal unter „Konto“ jederzeit selbst löschen. Ihre Kontodaten, Sitzungen, vertrauten Geräte und gegebenenfalls Wiederherstellungscodes werden dann sofort gelöscht; Einträge im Zugriffsprotokoll bleiben bis zum Ende ihrer Speicherfrist von zwölf Monaten bestehen.

Das Portal setzt bis zu drei Cookies, die für den von Ihnen angeforderten Dienst unbedingt erforderlich sind. Für sie ist nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung nötig, und es findet keine Auswertung statt.

„elaman_session“ enthält einen Zufallswert, der Ihre Sitzung identifiziert, und läuft spätestens nach acht Stunden ab; nach einer Stunde ohne Aktivität wird die Sitzung ebenfalls beendet. „elaman_login_challenge“ besteht nur zwischen der Eingabe Ihres Kennworts und der Eingabe Ihres Codes und läuft nach zwei Minuten ab, bei einem Code per E-Mail nach zehn Minuten. „elaman_trusted_device“ setzen wir nur, wenn Sie bei der Anmeldung „Diesem Gerät 30 Tage vertrauen“ wählen; es enthält einen Zufallswert und läuft nach 30 Tagen ab. Alle Cookies sind auf „HttpOnly“ und „SameSite=Lax“ gesetzt und werden ausschließlich verschlüsselt übertragen.

In der Datenbank speichern wir zu einer Sitzung nur den Hash des Werts aus dem Cookie, den Zeitpunkt der Anmeldung, den letzten Zugriff, die IP-Adresse und die Browserkennung. Der Wert selbst ist bei uns nicht gespeichert. Abgelaufene Sitzungen werden gelöscht.

Zu einem vertrauten Gerät speichern wir ebenfalls nur den Hash des Werts, dazu eine Bezeichnung aus Browser und Betriebssystem, die IP-Adresse, die letzte Nutzung und das Ablaufdatum. Es wird nach 30 Tagen gelöscht, ebenso mit einem neuen Kennwort oder wenn Sie es im Portal unter „Konto“ entfernen.

Fehlgeschlagene Anmeldeversuche halten wir mit Adresse, Zeitpunkt und IP-Adresse fest, um Konten nach zehn Fehlversuchen in fünfzehn Minuten vorübergehend zu sperren. Diese Einträge werden spätestens nach zwei Tagen gelöscht.

Im Portal stellen wir Unterlagen bereit, die jeweils einzelnen Behörden freigegeben werden. Sie sehen ausschließlich, was Ihrer Behörde freigegeben ist. Die Dateien liegen in einem nicht öffentlichen Speicher und sind nur über einen signierten Link erreichbar, der nach fünf Minuten verfällt.

Zur Absicherung dieses Zugangs führen wir ein Protokoll. Erfasst werden: Anmeldungen und fehlgeschlagene Anmeldeversuche, Änderungen an Konten und Freigaben sowie jeder Abruf einer Unterlage – jeweils mit Zeitpunkt, handelnder Person, betroffenem Objekt und IP-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, nachvollziehen zu können, wer auf nicht öffentliche Unterlagen zugegriffen hat.

Protokolleinträge werden nach zwölf Monaten gelöscht. Das Protokoll ist ausschließlich für die Administratorinnen und Administratoren von Elaman lesbar und wird nicht zu anderen Zwecken ausgewertet.

Über das Formular „Zugang anfragen“ verarbeiten wir Ihren Namen, Ihre Behörde, Ihre dienstliche E-Mail-Adresse und Ihre freiwillige Nachricht, um über die Vergabe eines Zugangs zu entscheiden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Prüfung solcher Anfragen.

Richten wir einen Zugang ein, erhalten Sie eine Einladung per E-Mail. Entscheiden wir uns dagegen, erhalten Sie keine Nachricht; wir vermerken lediglich intern, dass die Anfrage bearbeitet wurde. Bearbeitete Anfragen löschen wir nach sechs Monaten.

Für Betrieb und Versand setzen wir Dienstleister ein, die Daten ausschließlich nach unserer Weisung und auf Grundlage eines Vertrages zur Auftragsverarbeitung nach Art. 28 DSGVO verarbeiten:

Hosting und Auslieferung der Website: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA.

Versand der E-Mails aus Formular und Portal: Resend (Plus Five Five, Inc.), 2261 Market Street #5039, San Francisco, CA 94114, USA.

Datenbank und Dateispeicher des Portals: Neon Inc., 209 Orange Street, Wilmington, DE 19801, USA. Die Daten werden in einem Rechenzentrum von Amazon Web Services in Frankfurt am Main (Region eu-central-1) gespeichert und verlassen die Europäische Union im regulären Betrieb nicht.

Bei diesen Anbietern können personenbezogene Daten in die USA übermittelt werden oder für sie zugänglich sein, auch wenn die Speicherung in der Europäischen Union erfolgt. Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO in Verbindung mit ergänzenden Schutzmaßnahmen beziehungsweise, soweit der Anbieter zertifiziert ist, auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework nach Art. 45 DSGVO.

Diese Website wird ausschließlich über eine verschlüsselte TLS-Verbindung ausgeliefert. Sie erkennen das an der Adresse „https://“ und am Schlosssymbol Ihres Browsers. Damit sind auch die über das Formular übermittelten Angaben auf dem Transportweg geschützt.

Sie haben das Recht auf Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie auf Datenübertragbarkeit (Art. 20 DSGVO).

Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten, können Sie dieser Verarbeitung nach Art. 21 DSGVO widersprechen. Wenden Sie sich für alle diese Anliegen an die oben genannte Adresse oder an info@elaman.de.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 27, 91522 Ansbach.

Oktober 2026. Ändert sich die Datenverarbeitung auf dieser Website oder im Portal, passen wir diese Erklärung entsprechend an.