Hurricane Computer · H-C

Datenschutzerklärung

Fassung HC-DATENSCHUTZ-2026-10-26. Stand: 26. Oktober 2026.

1. Verantwortlicher und Kontakt

Telefon: 0160 7837665
E-Mail: info@hurricane.computer

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Bei Datenschutzfragen wenden Sie sich bitte an den genannten Kontakt.

2. Geltungsbereich und Rollen

Diese Erklärung beschreibt die Verarbeitung beim Besuch des H-C-Portals, bei Registrierung, Anmeldung und Kontoverwaltung sowie bei der Nutzung bereitgestellter Oberflächen, Fachfunktionen und Schnittstellen. Der verfügbare Umfang richtet sich nach Zugang, aktivierten Modulen und Berechtigungen.

Hurricane Computer ist für eigene Account- und Vertragsverwaltung, Betriebssicherheit, Support und eigene Kommunikation datenschutzrechtlich Verantwortlicher. Für personenbezogene Fachinhalte zu Kunden oder Beschäftigten eines Mandanten bestimmt grundsätzlich der Mandant Zwecke und Rechtsgrundlagen. Soweit Hurricane Computer diese Daten nach seiner dokumentierten Weisung verarbeitet, gilt eine gesonderte Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Ein Zugang oder die Kenntnisnahme dieser Erklärung ersetzt eine erforderliche Vereinbarung nicht.

3. Daten und Zwecke

Website und Sicherheit

Für den Abruf verarbeiten Netzwerkkomponenten IP-Adresse, Zeitpunkt und technisch übermittelte Anfrageangaben. Eigene H-C-Webzugriffsprotokolle sind auf Zeitpunkt, Methode, Antwortstatus, Datenmenge, Dauer und technische Anfragekennung begrenzt; IP-Adresse, Pfad, Query, Referrer und Browserkennung werden dort nicht mitgeschrieben. Fehler- und vorgeschaltete Infrastrukturprotokolle sind gesonderte Datenquellen. Sie dienen Bereitstellung, Fehleranalyse und Missbrauchsabwehr, nicht Werbung oder Verhaltensanalyse.

Konto und Anmeldung

Verarbeitet werden Mandantenname, Benutzername, Account-E-Mail, Passwortprüfwert, Kontostatus, Benutzer-/Mandantenzuordnung, Rollen, Berechtigungen, Sitzungen sowie Anmelde- und Sicherheitsereignisse. Passwörter werden nicht im Klartext gespeichert. Bei angebotener Selbstregistrierung ist die E-Mail vor der Anmeldung zu bestätigen; der nur gehasht gespeicherte Einmalcode ist 25 Minuten nutzbar. Kurzlebige technische Zähler begrenzen Registrierungsversuche. Die Selbstregistrierung kann je Zugang geschlossen sein.

Bei Vertragsannahme und Datenschutzkenntnisnahme werden Fassung, Zeitpunkt, Benutzer-/Mandantenbezug und technische Vorgangsreferenz festgehalten. Die Kenntnisnahme der Datenschutzerklärung ist keine Einwilligung. Ein optionaler Beispieldatensatz und freiwillige Produktinformationen sind keine Zugangsvoraussetzung.

Fachinhalte, Dateien und Einstellungen

Je nach Nutzung verarbeitet H-C Unternehmens-, Kunden-, Lieferanten- und Kontaktdaten, Artikel, Lagerbewegungen, Aufgaben, Termine, Einsatz-, Zeit- und Materialdaten, Angebote, Rechnungen, Zahlungszuordnungen, Dokumente, Fotos und zugehörige Änderungsnachweise. Inhalt und Zweck eigener Eingaben bestimmt der jeweilige Verantwortliche. Persönliche Darstellungs-, Startseiten- und Navigationseinstellungen werden dem Benutzer beziehungsweise Mandanten zugeordnet; sie erteilen keine zusätzlichen Fachrechte.

Belegoriginale können mit Herkunft, Eingangszeit, Bearbeitungsstand und Prüfsumme gespeichert werden. Eine reine Word-/Excel-Prüfvorschau legt noch keinen Beleg an. Lokale Texterkennung und Zahlenprüfung erzeugen Hinweise zur menschlichen Prüfung und senden die Quelle nicht schon deshalb an einen externen KI-Anbieter.

Feedback, Support und Kontakt

Der Feedbackweg unter Kontakt und das persönliche H-C-Postfach dienen Betreuung und Verbesserung. Dabei verarbeiten wir Betreff, Nachricht oder Kommentar, Autor, Empfänger, Mandantenbezug, Zeitpunkte, Bearbeitungs- und Lesestatus. Empfänger und berechtigter Support können die Unterhaltung lesen; interne Bearbeitungsnotizen werden dem Empfänger nicht angezeigt. E-Mail- und Telefonanfragen werden mit freiwillig mitgeteilten Kontakt- und Bearbeitungsdaten verarbeitet. Bitte übermitteln Sie keine Passwörter, Zugriffsschlüssel oder unnötigen vertraulichen Fachinhalte.

Automatische Problemberichte enthalten technische Angaben wie Request-ID, Zeitpunkt, Arbeitsbereich, normalisierten API-Pfad ohne Query oder konkrete dynamische ID, Status und Fehlercode. Sie enthalten keine Formulareingaben, Request-/Response-Inhalte, sichtbaren Fehlermeldungstexte, Stack-Traces, vollständigen URLs, Cookies, Token oder Browserspeicher. Ein freiwilliger Kommentar ist davon getrennt. Mandantenadministratoren sehen Berichte ihres Mandanten; ausdrücklich berechtigter H-C-Systemsupport bearbeitet die an H-C gemeldeten Berichte.

Nachrichten und freiwillige Informationen

Für notwendige Accountnachrichten, etwa Bestätigungscode oder Passwortwiederherstellung, verarbeiten wir Empfängeradresse, Vorgangsbezug, Versandzweck, Nachricht und Transportstatus. Produktinformationen werden nur nach gesonderter freiwilliger Auswahl versendet; diese ist für die Zukunft widerrufbar. Der Widerruf beendet den Zugang nicht. Ein erfolgreicher SMTP-Transport beweist noch keinen Empfang.

Optionale Kalenderverbindung

Bei Einrichtung einer Nextcloud-/Kalenderverbindung werden Serveradresse, erforderliche Verbindungs- und Anmeldeangaben sowie die zur gewählten Synchronisation nötigen Termindaten verarbeitet. Die Verbindung führt zum von Ihnen ausgewählten Server; für dessen Betrieb gelten zusätzlich die Angaben seines Betreibers. Ohne eingerichtete Verbindung entsteht daraus kein Kalenderdatenversand. Die Verbindung wird in den Benutzereinstellungen verwaltet.

4. Cookies und Browserzustand

• hurricane_core_session hält die Anmeldung aufrecht und ist für JavaScript nicht lesbar (HttpOnly). hurricane_core_csrf schützt schreibende Anfragen. Beide verwenden SameSite=Strict und bei HTTPS Secure.
• Die Sitzung endet bei Abmeldung oder an den serverseitigen Grenzen. Bedienung kann sie innerhalb dieser Grenzen verlängern; bloße Hintergrundabfragen erlauben keine unbegrenzte Verlängerung.
• Der Browser kann die ausdrücklich gewählte Oberfläche sowie persönliche Darstellungs- und Navigationszustände speichern, getrennt nach Benutzer und Mandant. Lokale Komfortzustände werden bei Änderung überschrieben und können über die Browserdaten gelöscht werden; sie haben nicht durchweg einen automatischen Ablauf. Zugangsdaten, Session- und CSRF-Token werden darin nicht gespeichert.

Notwendige Sitzungs- und Schutzcookies stützen sich auf § 25 Abs. 2 Nr. 2 TDDDG. Bei Darstellungszuständen gilt diese Ausnahme nur, soweit die Speicherung für die ausdrücklich gewünschte Funktion unbedingt erforderlich ist. Darüber hinausgehende optionale Speicherzugriffe benötigen vorherige Einwilligung oder werden ohne dauerhafte Speicherung bereitgestellt. Analyse-, Marketing- und Werbetracker sowie externe Schriftarten werden nicht eingesetzt.

5. Rechtsgrundlagen und erforderliche Angaben

• Vertragsanbahnung, Zugang, vereinbarte Fachfunktionen und notwendige Accountkommunikation: Art. 6 Abs. 1 Buchst. b DSGVO, soweit die betroffene Person Vertragspartner ist.
• Sicherer Betrieb, Fehlerbehebung, Missbrauchsabwehr, Support und Kommunikation mit Ansprechpartnern eines Kunden: Art. 6 Abs. 1 Buchst. f DSGVO. Berechtigtes Interesse ist die sichere, verlässliche Bereitstellung und Bearbeitung berechtigter Anliegen.
• Gesetzlich erforderliche Verarbeitung und Aufbewahrung: Art. 6 Abs. 1 Buchst. c DSGVO.
• Gesondert freiwillig gewählte Produktinformationen und andere einwilligungsbedürftige Vorgänge: Art. 6 Abs. 1 Buchst. a DSGVO; jederzeit für die Zukunft widerrufbar.

Bei Fachinhalten im Auftrag legt der verantwortliche Mandant die zutreffende Grundlage fest. Technische Verbindungsangaben sind für den Abruf erforderlich. Die im Registrierungs- oder Anmeldeweg als erforderlich bezeichneten Kontoangaben sind für einen eigenen Zugang notwendig. Ohne sie kann die betreffende Funktion nicht bereitgestellt werden. Weitere Fachinhalte und Komforteinstellungen richten sich nach der gewählten Nutzung. Werbungseinwilligung ist nicht erforderlich.

6. Betriebsstandorte und Empfänger

Anwendungsbetrieb, Kundendatenbank, fachliche Datenspeicherung, eigene KI-Verarbeitung und Backups erfolgen derzeit an eigenen oder vom Inhaber kontrollierten Betriebsstandorten ausschließlich in Deutschland. Dazu können weitere privat betriebene Standorte für KI oder Sicherungen gehören. Das bezeichnet technische Betriebsorte und keine zusätzlichen Niederlassungen. Zugriff erhalten berechtigte Benutzer und ausdrücklich berechtigte Administratoren oder Supportpersonen nur für ihre jeweilige Aufgabe.

Internet-, Domain-, DNS- und Transportanbieter verarbeiten die für ihre Dienste erforderlichen Verbindungsdaten. Für den zentralen Account-/Systemmailtransport ist STRATO der vorgesehene externe Versandweg. STRATO und die Mailserver der Empfänger verarbeiten dabei Absender-, Empfänger-, Kopf-, Inhalts- und Verbindungsdaten für Transport und Zustellung. Fachliche Dokumente können über einen vom Mandanten gewählten SMTP-Anschluss versendet werden; ohne eigene Konfiguration kann der zentrale Weg maßgeblich sein. Eigene Fachspeicher bedeuten deshalb keine ausschließliche Eigenverarbeitung sämtlicher E-Mails.

Geplante Weiterleitungen und Website: Für Weiterleitungen und Routing ist ergänzend ein STRATO-System vorgesehen; auch das Hosting der öffentlichen H-C-Website bei STRATO kommt in Betracht. Diese Planung wird hier nicht als bereits aktiviert dargestellt. Kundendatenbank und KI-Verarbeitung sollen bei diesem ersten Ausbauschritt auf den eigenen oder vom Inhaber kontrollierten Systemen bleiben. Dauerhafte Speicherung fachlicher Daten bei STRATO ist für die reine Routingoption nicht vorgesehen; beim Websitehosting würden dort die bereitgestellten Websiteinhalte gespeichert. Abhängig von der Konfiguration können Verbindungs- und Logdaten anfallen und bei TLS-Terminierung oder Routerverarbeitung auch Anfrageinhalte vorübergehend im Arbeitsspeicher verarbeitet werden. Keine dauerhafte Fachdatenhaltung bedeutet somit nicht, dass keine Verarbeitung stattfindet. Vor Aktivierung werden konkretes Produkt, Serverland, Datenumfang, Protokollierung, Fristen und erforderliche Auftragsverarbeitung festgelegt und die Angaben aktualisiert. Eine bereits abgeschlossene STRATO-AVV wird hier nicht behauptet.

Mögliche spätere Erweiterungen: Bei wachsendem Datenverkehr kann ergänzendes Hosting bei STRATO oder einem anderen geeigneten Dienstleister geprüft werden, etwa für die Dokumentenablage und deren Übertragung. Auch zusätzliche extern betriebene KI-Kapazität bleibt eine spätere Option. Dafür gibt es noch keine konkrete Umsetzungsentscheidung; die Kundendatenbank soll nach der derzeitigen Planung weiterhin im eigenen Betrieb bleiben. Vor einer solchen Änderung werden der betroffene Datenweg, Empfänger, Verarbeitungsort, Schutzmaßnahmen und erforderliche Vertragsgrundlagen konkret geprüft und die Informationen aktualisiert. Diese Möglichkeiten sind keine pauschale Freigabe zur Übermittlung von Fachinhalten.

Ein eingerichteter Kalender-, Mail-, Modul- oder Assistenzanschluss ist ein eigener Datenweg zum jeweils benannten Empfänger. Für das eigene Betriebsprofil ist keine Übermittlung von Fachinhalten an fremde Modellanbieter oder in Drittländer vorgesehen. Ein abweichender ausdrücklich gewählter Anschluss muss vor Übermittlung transparent beschrieben und rechtlich zulässig sein; bei Drittlandbezug sind zusätzlich die Voraussetzungen des Kapitels V DSGVO zu erfüllen.

7. Optionale KI und Module

Integrierte KI ist optional und benötigt die vorgesehenen Modul-, Benutzer- und Funktionsrechte. Im eigenen Betriebsprofil laufen Router und Modelle auf vom Betreiber administrierten Systemen in Deutschland. Verarbeitet werden nur die für den gewählten Vorgang freigegebenen Inhalte. Fachinhalte werden nicht pauschal für Modelltraining, Werbung oder Profilbildung verwendet. Ergebnisse sind überprüfbare Vorschläge oder Entwürfe; die fachliche Entscheidung bleibt beim Menschen. Es findet keine ausschließlich automatisierte Entscheidung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung statt.

Externe Assistenzsysteme, fremde Modellanbieter und externe Module sind getrennte Empfänger. Anbieter, Zweck, Umfang, Ort und passende Vertragsgrundlage müssen vor Freigabe geklärt sein. Technische Aktivierung ist keine Einwilligung der betroffenen Personen. Näheres erläutert der KI- und Modultransparenzhinweis.

Integrationen erhalten nur freigegebene Schnittstellenrechte, keinen direkten Datenbankzugriff. Delegierte Module verwenden kurzlebige, an Benutzer, Mandant und Modul gebundene Token statt Ihres Passworts oder Sitzungscookies. Ein angenommener begrenzter Auftrag kann nach Abmeldung fertiggestellt werden; ein neuer Ergebnisabruf benötigt gültige Rechte. Das erlaubt keinen unbegrenzten Hintergrundzugriff.

8. Aufbewahrung und Löschung

Daten werden zweckgebunden gespeichert und nach Zweckfortfall gelöscht oder anonymisiert, soweit keine gesetzliche Pflicht oder konkret begründete Nachweis- oder Schutznotwendigkeit entgegensteht. Die folgenden festgelegten Betriebsfristen sind keine allgemeinen gesetzlichen Pauschalfristen:

• Unbestätigte Registrierung: sieben Tage ab Anlage; Verifikationscode-Hashes bis sieben Tage nach Ablauf. Bestätigte Konten werden dadurch nicht gelöscht.
• Automatische Fehlerberichte: 30 Tage seit letztem zusammengefassten Auftreten. Manuelle Meldungen/Support: 180 Tage seit letzter Aktivität.
• Reguläre technische Zugriffs-/Fehlerlogs: sieben Tage. Erforderliche Belege eines konkreten Sicherheitsvorfalls: gesondert bis zu 30 Tage, danach Prüfung eines fortbestehenden Grundes. Fremde Transport- und Mailprotokolle sind vom eigenen H-C-Protokollbestand zu unterscheiden.
• Vertragsannahmen und erforderliche Vertragsnachweise: Vertragsdauer, danach soweit für Ansprüche erforderlich regulär drei Jahre ab Ende des für die Verjährung maßgeblichen Jahres. Abweichende Pflichten, Fristbeginn, Hemmung und konkrete Rechtsstreitigkeiten werden einzeln berücksichtigt; keine pauschale Frist für sämtliche Fach- und Auditdaten.
• Delegierte Auftragsergebnisse: höchstens 24 Stunden abrufbar; begrenzte Wiederholungsnachweise: sieben Tage.
• Reguläre Sicherungen: höchstens 180 Tage nach dem gewählten Rotationskonzept. Notwendige Schutz-/Fehlerausnahmen werden begründet und überprüft. Sicherungen dienen der Wiederherstellung und sind kein dauerhaftes Kundenarchiv. Löschung im aktiven Bestand entfernt Daten nicht sofort aus jeder Sicherung. Dokumentierte Löschungen sind nach Wiederherstellung vor erneuter Freigabe nachzuziehen.

Für Fachinhalte gelten Weisung, Vertragszweck und die zutreffende Aufbewahrungsklasse. Für Geschäftsunterlagen können achtjährige Rechnungs-/Buchungsbeleg-, zehnjährige Buch-/Organisations- oder sechsjährige sonstige Klassen einschlägig sein. Beginn, Sonderregeln und offene Verfahren sind getrennt zu prüfen. Das gilt nicht pauschal für private Termine oder jeden Kontoinhalt. Rückgabe und eingeschränkte Restaufbewahrung werden vor produktiver Mandantenschließung geklärt; Kontobeendigung ist keine pauschale Löschweisung für aufzubewahrende Originale.

9. Ihre Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft und Kopie, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung jederzeit. Einwilligungen sind für die Zukunft widerrufbar, ohne die Rechtmäßigkeit bisheriger Verarbeitung zu berühren.

Anfragen richten Sie an info@hurricane.computer. Identitätsnachweise werden nur verlangt, soweit zur sicheren Zuordnung erforderlich. Wir reagieren grundsätzlich unverzüglich, spätestens innerhalb eines Monats; eine gesetzlich zulässige Verlängerung teilen wir innerhalb dieses Monats mit. Kontodownload und Geschäftsarchivexport unterstützen die Herausgabe, ersetzen aber keine Prüfung weitergehender Auskunft. Bei Fachinhalten eines Mandanten beziehen wir dessen Verantwortlichen ein und unterstützen ihn im Rahmen der Auftragsverarbeitung.

10. Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für unseren Sitz ist insbesondere erreichbar:

11. Sicherheit und Änderungen

H-C verwendet serverseitige Mandantentrennung, abgestufte Rechte, Passwortprüfwerte, Sitzungs-/CSRF-Schutz, geschützte Übertragung am öffentlichen Zugang und getrennte Sicherungs-/Wiederherstellungswege. Absolute Sicherheit oder eine Zertifizierung werden nicht zugesagt. Sicherheitsvorfälle werden untersucht; erforderliche Informationen und Meldungen richten sich nach der jeweiligen Verantwortlichenrolle.

Ändert sich die Verarbeitung, wird diese Erklärung mit neuer Kennung fortgeschrieben. Historische Vertrags- und Kenntnisnahmen bleiben der damaligen Fassung zugeordnet. Eine neue Erklärung ändert keine bestehende Einwilligung und ersetzt keine erforderliche Rechtsgrundlage.

Zurück zu H-C