Datenschutzerklärung Sentra Security Portal
Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten im Sentra Security Portal (security.sentra-ai.cloud) verarbeitet werden. Das Portal ist ein Fallportal für Betreiber von Geschäften mit Videoüberwachung (UniFi Protect): Videoclips werden zu Vorfällen („Fällen“) zusammengestellt, dokumentiert und bei Bedarf über einen gesonderten Zugang an Ermittlungsbehörden weitergegeben.
1. Verantwortlicher
DATO-IT GmbH
Zeißstraße 7
23560 Lübeck
Telefon: +49 451 70344070
E-Mail: info@dato-it.de
Vertreten durch die Geschäftsführer Daniel Schreiber und Tom Waitschulies.
Registergericht: Amtsgericht Lübeck, HRB 26525 HL
Für die Inhalte der Fälle (Videos, Standbilder, Notizen, Zusatzdaten, Behördenzugänge) ist der jeweilige Betreiber, für den der Fall geführt wird, Verantwortlicher. Die DATO-IT GmbH betreibt das Portal für diese Betreiber als Auftragsverarbeiter (Art. 28 DSGVO). Näheres in Abschnitt 7.
2. Datenschutzbeauftragter
Wir haben einen externen Datenschutzbeauftragten bestellt. Sie erreichen ihn unter:
Dr. Sebastian Kraska
IITR Datenschutz GmbH
Marienplatz 2
80331 München
Telefon: 089-18917360
E-Mail: email@iitr.de
Bitte nennen Sie bei Ihrer Anfrage, dass sie die DATO-IT GmbH betrifft.
3. Hosting
Die Anwendung läuft auf Servern, die wir in Rechenzentren der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland betreiben. Hetzner ist für uns als Auftragsverarbeiter tätig (Art. 28 DSGVO). Eine Übermittlung in Drittländer findet nicht statt.
4. Server-Logdateien
Beim Aufruf der Anwendung übermittelt Ihr Browser aus technischen Gründen Daten an unseren Server. Erfasst werden:
- Datum und Uhrzeit der Anfrage
- aufgerufene Adresse (URL) und Zugriffsstatus (z. B. erfolgreich, nicht gefunden)
- übertragene Datenmenge
- Seite, von der aus die Anfrage kam (Referrer)
- verwendeter Browser und Betriebssystem
- IP-Adresse
Zweck ist der sichere und stabile Betrieb, insbesondere die Abwehr und Aufklärung von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Logdateien des Webservers werden wöchentlich rotiert und nach acht Wochen gelöscht; Fehlerprotokolle der Anwendung nach 14 Tagen. Eine Zusammenführung mit anderen Daten findet nicht statt.
Fehlgeschlagene Anmeldeversuche protokolliert die Anwendung zusätzlich mit IP-Adresse, eingegebener E-Mail-Adresse und Zeitpunkt in einem Sicherheitsprotokoll. Es dient der automatischen Sperre von Angreifern (nach zehn Fehlversuchen in zehn Minuten wird die IP-Adresse für eine Stunde gesperrt) und wird nach acht Wochen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.
5. Anmeldung und Benutzerkonto
Zur Nutzung des Portals ist eine Anmeldung erforderlich. Konten werden nur von der DATO-IT GmbH oder von Administratoren des jeweiligen Betreibers angelegt; eine Selbstregistrierung gibt es nicht. Dabei verarbeiten wir die Daten Ihres Benutzerkontos (Name, E-Mail-Adresse, Kennwort ausschließlich als Hash, Rolle, Zuordnung zum Betreiber, Status aktiv/deaktiviert, Zeitpunkt der letzten Anmeldung). Zu jeder Sitzung werden IP-Adresse, Browserkennung und Zeitpunkt der letzten Aktivität gespeichert.
Wichtige Vorgänge im Portal werden in einem Änderungsprotokoll festgehalten (z. B. Anmeldung und Abmeldung, Anlegen und Ändern von Fällen, Hochladen und Löschen von Dateien, Anlegen und Widerrufen von Behördenzugängen, Anzeige von Kartendaten im Klartext, Export einer Fallakte) – jeweils mit Benutzer, Zeitpunkt und IP-Adresse. Das Protokoll ist nicht veränderbar und wird nach zwei Jahren gelöscht.
Zweck ist die Bereitstellung des Portals, die Absicherung des Zugangs und die Nachvollziehbarkeit des Umgangs mit Beweismitteln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. Nutzungsverhältnis), soweit Sie für einen unserer Kunden tätig sind, sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und nachvollziehbaren Nutzerverwaltung). Nicht mehr benötigte Konten werden deaktiviert; eine Anmeldung ist dann nicht mehr möglich. Auf Wunsch löschen wir die Kontodaten, soweit sie nicht für die Nachvollziehbarkeit der Protokolle (siehe oben, zwei Jahre) oder wegen gesetzlicher Aufbewahrungspflichten weiter benötigt werden.
6. Cookies und ähnliche Techniken
Das Portal setzt nur Cookies, die für den Betrieb technisch notwendig sind:
| Name | Zweck | Speicherdauer |
|---|---|---|
sentra-security-portal-session | hält Sie nach der Anmeldung angemeldet (Sitzung) | 2 Stunden ab der letzten Aktivität |
XSRF-TOKEN | Schutz vor gefälschten Anfragen (CSRF) | 2 Stunden |
remember_web_… | „Angemeldet bleiben“ – nur, wenn Sie das bei der Anmeldung ausdrücklich wählen | bis zur Abmeldung, höchstens 400 Tage |
authority_session | Sitzung eines Behördenzugangs, gilt nur für den jeweiligen Zugangslink | bis zum Ende der Behördensitzung (standardmäßig 4 Stunden) |
Diese Cookies sind unbedingt erforderlich, damit der von Ihnen gewünschte Dienst funktioniert; eine Einwilligung ist dafür nach § 25 Abs. 2 Nr. 2 TDDDG nicht nötig. Rechtsgrundlage für die damit verbundene Datenverarbeitung ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Cookies zu Analyse- oder Werbezwecken setzen wir nicht. Schriften und sonstige Dateien werden von unserem eigenen Server geladen; Inhalte anderer Anbieter werden nicht eingebunden. Eine Webanalyse findet nicht statt.
7. Verarbeitung im Portal (Videodaten und Fälle)
Rolle der DATO-IT GmbH
Das Portal wird für Betreiber von Geschäften (unsere Kunden, im Portal „Mandanten“) betrieben, die ihre Räume mit UniFi Protect videoüberwachen. Für die Videoüberwachung selbst und für die Inhalte der Fälle ist der jeweilige Betreiber verantwortlich; er entscheidet, welche Aufnahmen in einen Fall übernommen, wie lange Fälle aufbewahrt und an wen sie weitergegeben werden. Die DATO-IT GmbH verarbeitet diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO). Die Daten der Betreiber sind im Portal voneinander getrennt; jeder Betreiber sieht nur seine eigenen Fälle und Aufnahmen. Wenn Sie auf einer Aufnahme zu sehen sind und Ihre Rechte geltend machen möchten, wenden Sie sich bitte an den Betreiber des jeweiligen Geschäfts; Anfragen an uns leiten wir an ihn weiter.
Welche Daten verarbeitet werden
- Videoclips aus UniFi Protect: Exporte der Überwachungskameras, die im Archiv des Betreibers (Speicher in unserem Rechenzentrum) abgelegt und im Portal mit Kameraname und Aufnahmezeit aufgelistet werden. Auf den Aufnahmen können Kundinnen und Kunden, Beschäftigte und sonstige Personen zu sehen sein.
- Fälle: Fallnummer, Titel, Beschreibung, Zeitpunkt und Ort des Vorfalls, Status, Ersteller; dazu hochgeladene oder aus dem Archiv übernommene Dateien (Videos, Bilder, PDF- und Textdokumente) mit Prüfsumme (SHA-256) als Nachweis der Unverändertheit.
- Auswertung: Markierungen mit Zeitpunkt und Kommentar sowie Standbilder, die beim Abspielen im Browser erstellt werden; Notizen zum Fall.
- Zusatzdaten: strukturierte Angaben zum Vorfall, z. B. Türzutritte, Personen, Fahrzeuge oder Karten aus einer Türsteuerung. Kartennummer, Ablaufdatum und Karteninhaber werden verschlüsselt gespeichert und im Portal nur maskiert angezeigt; die Anzeige im Klartext ist auf berechtigte Administratoren beschränkt und wird protokolliert.
- Fallakte: Berechtigte können eine Fallakte (PDF-Bericht und Dateien als ZIP) herunterladen; jeder Export wird protokolliert.
Eine automatisierte Auswertung der Aufnahmen, etwa mit künstlicher Intelligenz oder Gesichtserkennung, findet im Portal nicht statt; die Auswertung erfolgt durch Menschen. Beim Speichern eines Videos wird lediglich auf dem Server dessen Laufzeit technisch ausgelesen. Externe Dienste werden dafür nicht genutzt.
Zweck ist die Dokumentation und Aufklärung konkreter Vorfälle (z. B. Diebstahl, Sachbeschädigung) und die Weitergabe von Beweismitteln an Ermittlungsbehörden. Rechtsgrundlage auf Seiten des Betreibers ist in der Regel Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Eigentums und an der Verfolgung von Straftaten); die Zulässigkeit der Videoüberwachung selbst verantwortet der Betreiber.
Beschäftigte der Betreiber
Auf Aufnahmen können auch Beschäftigte des Betreibers zu sehen sein. Das Portal dient der Aufklärung einzelner Vorfälle; es enthält keine Funktionen zur Leistungs- oder Verhaltenskontrolle von Beschäftigten. Ob und wie Aufnahmen von Beschäftigten verwendet werden dürfen (etwa nach § 26 BDSG bzw. Art. 88 DSGVO oder einer Betriebsvereinbarung), liegt in der Verantwortung des Betreibers.
Behördenzugang und Zugriffsprotokoll
Für die Weitergabe an Ermittlungsbehörden kann der Betreiber je Fall einen Zugang einrichten: einen Link mit zufälligem Kennzeichen und ein Kennwort (gespeichert nur als Hash), zeitlich begrenzt (standardmäßig 7 Tage) oder nur einmal nutzbar. Die Behörde sieht ausschließlich diesen einen Fall und nur die für sie freigegebenen Inhalte. Nach fünf falschen Kennworteingaben wird der Zugang für 15 Minuten gesperrt; der Betreiber kann ihn jederzeit widerrufen.
Jeder Zugriff über einen Behördenzugang wird lückenlos protokolliert: Anmeldung (auch fehlgeschlagene Versuche und Sperren), Aufruf des Falls und der Zusatzdaten, Wiedergabe und Download einzelner Dateien, Download der Fallakte und Abmeldung – jeweils mit Zeitpunkt, IP-Adresse und Browserkennung. Das Protokoll kann vom Betreiber eingesehen und als CSV-Datei exportiert werden. Zweck ist der Nachweis, wer wann auf welche Beweismittel zugegriffen hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Beweiskette) bzw. Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht). Empfänger der freigegebenen Fallinhalte ist die jeweilige Ermittlungsbehörde.
Aufbewahrung und Löschung
| Daten | Löschung |
|---|---|
| Fälle mit Dateien, Markierungen, Standbildern, Notizen, Zusatzdaten und Behördenzugängen | bis der Betreiber den Fall löscht; gelöschte Fälle werden nach 30 Tagen endgültig entfernt |
| Videoclips im Archiv, die in den Papierkorb verschoben wurden | endgültig nach 30 Tagen |
| Zugriffsprotokoll der Behördenzugänge und Änderungsprotokoll | nach zwei Jahren |
| Temporäre Dateien beim Entpacken von ZIP-Uploads | spätestens nach 24 Stunden |
Die Löschung läuft täglich automatisch. Datensicherungen des Servers werden nach Ablauf ihrer Aufbewahrungsfrist überschrieben.
8. Ihre Rechte
Sie haben gegenüber uns das Recht auf
- Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
- Berichtigung unrichtiger Daten (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO),
- Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO),
- Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Wenden Sie sich dazu an info@dato-it.de oder an unseren Datenschutzbeauftragten (Abschnitt 2). Betrifft Ihre Anfrage Aufnahmen oder Fälle eines Betreibers, ist dieser als Verantwortlicher Ihr Ansprechpartner (Abschnitt 7).
9. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98
24103 Kiel
E-Mail: mail@datenschutzzentrum.de
Website: https://www.datenschutzzentrum.de
10. Stand
Diese Datenschutzerklärung hat den Stand November 2026.