Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im Rahmen von RINO ist Richardsen UG, Kleiseerkoog Osterhof 1, 25899 Galmsbüll. Geschäftsführer: Martin Richardsen. Du erreichst uns per E-Mail unter hallo@rino.energy. Die vollständigen Anbieterangaben stehen im Impressum.

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben wir nicht benannt; die gesetzlichen Voraussetzungen dafür liegen bei uns nicht vor.

Zwei Rollen: deine Daten und die Daten in deinen Projekten

Diese Erklärung betrifft zwei Verarbeitungen, die man nicht verwechseln sollte.

Für die Daten deines Zugangs – Name, E-Mail-Adresse, Anmeldedaten, Nutzungsprotokolle – und für Anfragen über diese Website sind wir Verantwortlicher im Sinne der DSGVO. Darum geht es in dieser Erklärung.

Für alles, was eine Organisation in RINO erfasst – Projekte, Flurstücke, Eigentümer, Behördenkontakte, Dokumente, E-Mails –, ist die Organisation selbst Verantwortlicher. Diese Daten verarbeiten wir ausschließlich in ihrem Auftrag und nach ihren Weisungen. Grundlage ist der Auftragsverarbeitungsvertrag. Die betroffenen Personen – etwa Grundstückseigentümer – informiert die Organisation selbst; diese Erklärung nimmt ihr das nicht ab.

Aufruf der Website

Beim Aufruf unserer Seiten verarbeitet der Server die technisch notwendigen Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statusmeldung, verweisende Seite sowie Angaben zu Browser und Betriebssystem. Ohne sie lässt sich keine Seite ausliefern.

Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle löschen wir nach spätestens 14 Tagen und führen sie nicht mit anderen Daten zusammen.

Schriftarten, Bilder und Skripte liefern wir vom eigenen Server. Auf der Website werden keine Inhalte Dritter nachgeladen, es gibt keine Analyse- oder Werbe-Cookies und kein Zählpixel. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

Cookies

Wir setzen ausschließlich technisch notwendige Cookies. Sie sind für den Betrieb erforderlich und bedürfen keiner Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).

• Sitzungs-Cookie (rino-session): hält dich während eines Besuchs angemeldet; es läuft nach 8 Stunden ohne Aktivität ab.
• XSRF-TOKEN: schützt Formulare davor, von fremden Websites abgeschickt zu werden.
• „Angemeldet bleiben“: nur, wenn du das bei der Anmeldung selbst auswählst.
• Anzeigeeinstellungen: merken sich zum Beispiel, ob die Seitenleiste ein- oder ausgeklappt ist.

Demo-Anfrage und Kontaktformular

Fragst du eine Demo an oder schreibst du uns, verarbeiten wir deine Angaben – Name, Unternehmen, E-Mail-Adresse und, soweit du sie machst, Telefonnummer, Funktion, Technologie, Anzahl laufender Projekte und deine Nachricht –, um die Anfrage zu beantworten, einen Termin abzustimmen und dich als Interessent zu betreuen. Rechtsgrundlage sind deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Die Einwilligung speichern wir mit Zeitpunkt und Stand dieser Erklärung. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zum Schutz vor automatisierten Einsendungen kommen wir ohne Captcha aus: Wir nutzen ein für Menschen unsichtbares Feld, eine Mindestdauer bis zum Absenden, eine Begrenzung der Anfragen je IP-Adresse und eine Liste von Wegwerf-Domains. Die IP-Adresse wird dafür nur kurzzeitig im Zwischenspeicher gehalten (Art. 6 Abs. 1 lit. f DSGVO).

Anfragen und die daraus entstehenden Interessentendaten löschen wir, sobald sie für die Betreuung nicht mehr erforderlich sind, spätestens aber zwei Jahre nach dem letzten Kontakt. Kommt ein Vertrag zustande, gelten stattdessen die Fristen für Kundendaten.

Zugang und Anmeldung

Für einen Zugang verarbeiten wir Name, E-Mail-Adresse, ein Passwort, optional ein Profilbild sowie deine Mitgliedschaft in der Organisation mit Rolle und Rechten. Das Passwort speichern wir nur als nicht umkehrbaren Hashwert; wir können es nicht einsehen. Eine offene Registrierung gibt es nicht – Zugänge entstehen durch Einladung aus einer Organisation.

Optional sicherst du deinen Zugang mit einer Authenticator-App oder einem Passkey ab; dafür speichern wir die nötigen Schlüssel und Wiederherstellungscodes. Meldest du dich mit deinem Microsoft-365-Konto an, erhalten wir von Microsoft Name und E-Mail-Adresse.

Neue Passwörter prüfen wir gegen bekannte Datenlecks. Dabei übermitteln wir nur die ersten fünf Zeichen eines Prüfwerts des Passworts an den Dienst „Have I Been Pwned“ (Superlative Enterprises Ltd., Australien) – nie das Passwort selbst und nichts, woraus sich dein Konto ergibt. Rechtsgrundlage ist unser berechtigtes Interesse an sicheren Zugängen (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage für die Zugangsdaten ist die Erfüllung des Nutzungsvertrags mit deiner Organisation (Art. 6 Abs. 1 lit. b DSGVO).

Nutzung der Anwendung

In der Anwendung verarbeiten wir die Daten, die deine Organisation eingibt oder hochlädt: Projekte, Flächen und Flurstücke mit Eigentümern und Verträgen, Anlagen, Anträge und Bescheide, Kontakte zu Behörden, Gutachtern und Dienstleistern, Dokumente, Aufgaben und Notizen. Für diese Inhalte ist die Organisation Verantwortlicher, wir sind Auftragsverarbeiter.

Zur Sicherheit und Nachvollziehbarkeit protokollieren wir bestimmte Vorgänge – Löschungen, Änderungen von Rollen und Rechten, Datenexporte sowie jeden Zugriff unseres Supports auf eine Organisation. Diese Protokolle kann die Organisation in ihrem Konto einsehen; ein Support-Zugriff wird zusätzlich als Banner angezeigt.

Texte aus Scans erkennen wir mit einer Texterkennung auf unseren eigenen Servern. Dokumente, die du im Browser bearbeitest, laufen über unsere eigene Office-Installation. Beides verlässt unsere Server nicht.

KI-Funktionen

Ist die KI in einer Organisation eingeschaltet, übermitteln wir für die jeweils ausgelöste Funktion Inhalte an Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich: Text aus hochgeladenen Dokumenten für die Einordnung, das Auslesen von Fristen und Auflagen und das Auslesen von Angeboten und Rechnungen, deine Frage samt der dafür herangezogenen Textstellen im Assistenten, Titel und Kennzahlen für das Tagesbriefing sowie Text für die Suche nach ähnlichen Inhalten.

Die Verarbeitung findet innerhalb der Europäischen Union statt. Die Inhalte werden nicht zum Training von KI-Modellen verwendet und nach der Verarbeitung beim Dienstleister nicht dauerhaft gespeichert. Mit Mistral AI besteht ein Auftragsverarbeitungsvertrag.

Ohne eingeschaltete KI wird nichts übermittelt. Jede Organisation kann die KI-Funktionen in den Einstellungen abschalten; welche Aufrufe stattgefunden haben, ist dort ebenfalls einsehbar.

Angebundenes Postfach (Microsoft 365)

Verbindet eine Nutzerin oder ein Nutzer das eigene Microsoft-365-Postfach, rufen wir über die Schnittstelle von Microsoft die E-Mails ab, die für die Projektarbeit gebraucht werden, und legen sie in RINO ab: Absender und Empfänger, Betreff, Inhalt, Anhänge und Zeitpunkte. Versendete Nachrichten geben wir über dieselbe Schnittstelle ab.

Wir speichern dafür die Zugriffs- und Erneuerungsschlüssel des verbundenen Kontos. Die Verbindung lässt sich jederzeit in den Einstellungen trennen. Ohne Verbindung findet kein Austausch mit Microsoft statt.

Anbieter der Schnittstelle ist die Microsoft Ireland Operations Limited, Dublin, Irland – sie verarbeitet das Postfach ohnehin bereits im Auftrag deines Arbeitgebers.

Karte und Umgebungsdaten

Die Karte lädt ihre Hintergrundbilder direkt im Browser von den eingestellten Kartendiensten – standardmäßig basemap.de des Bundesamts für Kartographie und Geodäsie sowie OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich). Für Flurstücksgrenzen fragen wir die amtlichen ALKIS-Dienste der Bundesländer ab. Dabei erfährt der jeweilige Anbieter deine IP-Adresse und den angefragten Kartenausschnitt. Eine Organisation kann eigene Kartendienste hinterlegen; dann gilt das für diese.

Anlagen im Umfeld eines Projekts stammen aus dem öffentlichen Gesamtdatenexport des Marktstammdatenregisters der Bundesnetzagentur. Darin enthaltene Betreibernamen können Namen natürlicher Personen sein; wir übernehmen sie unverändert aus dem öffentlichen Register (Art. 6 Abs. 1 lit. f DSGVO).

Teilen-Links und Unterlagen anfordern

Organisationen können Dokumente über einen Teilen-Link bereitstellen oder Unterlagen anfordern. Wir verarbeiten dafür die E-Mail-Adressen der Empfänger, den Text der Nachricht, die hoch- oder heruntergeladenen Dateien sowie Zeitpunkt und IP-Adresse der Zugriffe, um Missbrauch zu erkennen und den Eingang nachzuweisen. Verantwortlich dafür ist die Organisation, die den Link erstellt; wir verarbeiten in ihrem Auftrag.

Links laufen zu dem Zeitpunkt ab, den die Organisation festlegt. Kalender-Abonnements (iCal) sind nur über eine geheime Adresse erreichbar, die sich jederzeit neu erzeugen lässt.

Partnerzugang

Organisationen können externe Partner – etwa Gutachterbüros oder Betreibergesellschaften – in einen eigenen Partnerzugang einladen. Für Partnerpersonen verarbeiten wir Name, E-Mail-Adresse, optional eine Telefonnummer, Rolle und Stand der Einladung sowie ein Anmeldeprotokoll mit Zeitpunkt und IP-Adresse. Die Anmeldung erfolgt ohne Passwort über einen Code per E-Mail, den wir nur als nicht umkehrbaren Prüfwert speichern und der nach 10 Minuten verfällt.

Im Partnerzugang tauschen Organisation und Partner Angebote, Aufträge, Unterlagen, Lieferungen, Rechnungen und Nachrichten aus. Dafür speichern wir die Inhalte, die eine Seite dort einstellt (Beträge, Termine, Dateien, Text der Nachrichten), mit Absender und Zeitpunkt sowie ein Protokoll jedes Herunterladens (Person, Dokument, Zeitpunkt, IP-Adresse). Hochgeladene Dateien prüfen wir auf Schadsoftware. Nachrichten und Dateien bleiben Teil der Unterlagen der Organisation und werden mit ihnen gelöscht.

Verantwortlich ist die Organisation, die einlädt; wir verarbeiten diese Daten in ihrem Auftrag. Ist eine Person von mehreren Organisationen eingeladen, hat sie ein Konto, sieht die Daten jeder Organisation aber nur getrennt. Die Organisation kann einen Zugang jederzeit entziehen. Konten ohne Zugang löschen wir nach 12 Monaten.

E-Mail-Versand

Bestätigungen, Einladungen, Erinnerungen und Benachrichtigungen versenden wir über Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin). Übertragen werden Empfängeradresse, Betreff und Inhalt der Nachricht. Mit dem Dienstleister besteht ein Auftragsverarbeitungsvertrag; die Verarbeitung findet in der Europäischen Union statt.

Mitteilungen auf dein Gerät

Schaltest du Push-Mitteilungen ein, richtet dein Browser einen Zustellweg beim jeweiligen Anbieter ein – je nach Gerät Google, Apple oder Mozilla. Wir speichern dafür die technische Adresse dieses Zustellwegs und die zugehörigen Schlüssel. Der Inhalt einer Mitteilung ist verschlüsselt und für den Anbieter nicht lesbar.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen, indem du die Mitteilungen in den Einstellungen wieder abschaltest.

Wie lange wir Daten speichern

Grundsätzlich speichern wir Daten so lange, wie der Zugang und der Vertrag mit der Organisation bestehen. Darüber hinaus gelten diese Fristen:

• Gelöschte Datensätze bleiben 30 Tage im Papierkorb und lassen sich bis dahin wiederherstellen.
• Wird eine Organisation gelöscht, entfernen wir alle Daten endgültig nach 30 Tagen. Innerhalb dieser Frist lässt sich die Löschung widerrufen.
• Bereitgestellte Datenexporte löschen wir nach 7 Tagen.
• Verläufe im KI-Assistenten löschen wir nach 365 Tagen, Tagesbriefings nach 30 Tagen.
• Verworfene E-Mail-Verläufe löschen wir nach der von der Organisation eingestellten Frist, standardmäßig nach 30 Tagen.
• Konten im Partnerzugang ohne Zugang löschen wir nach 12 Monaten.
• Server-Protokolle löschen wir nach 14 Tagen.
• Gesetzliche Aufbewahrungspflichten bleiben unberührt; für Rechnungen und steuerrelevante Unterlagen sind das zehn Jahre.

Empfänger und Ort der Verarbeitung

Anwendung, Datenbank und Dateien laufen bei der Hetzner Online GmbH in Rechenzentren in Deutschland. Die oben genannten Dienstleister verarbeiten innerhalb der Europäischen Union; ausgenommen sind die Kartendienste und der Abgleich von Passwörtern mit bekannten Datenlecks, bei denen lediglich die IP-Adresse beziehungsweise ein verkürzter Prüfwert anfällt.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Sicherheit

Die Verbindung zu unseren Servern ist durchgängig über HTTPS verschlüsselt. Dateien liefern wir nur über kurzlebige, signierte Links aus, die nach 15 Minuten ungültig werden. Die Daten verschiedener Organisationen sind strikt voneinander getrennt; das ist durch automatisierte Tests für jeden Zugriffspunkt abgesichert. Anmeldeversuche sind begrenzt, Passwörter speichern wir nur als Hashwert, und für den Admin-Bereich ist die Zwei-Faktor-Anmeldung Pflicht.

Deine Rechte

Hinsichtlich der Daten, für die wir Verantwortlicher sind, hast du uns gegenüber diese Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – einen vollständigen Export aller Daten und Dateien kann eine Organisation jederzeit selbst anstoßen
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde – für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert – etwa wenn ein Dienstleister hinzukommt. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung. Stand: 28.09.2026.