Datenschutzhinweise – LimoDoc-Testumgebung

Diese Hinweise informieren nach Art. 13 und 14 DSGVO alle, die die Seiten der LimoDoc-Testumgebung aufrufen oder sich dort anzumelden versuchen, darüber, welche personenbezogenen Daten dabei verarbeitet werden, wozu und wie lange. Zur Testumgebung gehören die Startseite test.limodoc.de, der Anmeldedienst auth.test.limodoc.de und die drei Anwendungen app.test.limodoc.de, admin.test.limodoc.de und studio.test.limodoc.de. Stand: 29. Oktober 2026.

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten in dieser Testumgebung ist:

LimoTech AI e. K., Inhaber Ali Rahmani Moghaddam
Neuwieder Straße 34
56588 Waldbreitbach
Deutschland

Telefon: +49 179 1415344
E-Mail: info@limotech.ai

Ein Datenschutzbeauftragter ist nicht benannt. Fragen zum Datenschutz richten Sie bitte an die oben genannte E-Mail-Adresse.

Testumgebung, Testdaten und Zugänge

Bitte verwenden Sie ausschließlich erfundene Testdaten und Testdokumente – keine echten Dokumente und keine personenbezogenen Daten realer Personen. Sämtliche Daten dieser Umgebung – Dokumente, Akten, Einstellungen und Benutzerkonten – werden bei jeder neuen Bereitstellung ohne Vorwarnung vollständig gelöscht: nachts, sobald eine neue Version vorliegt, außerdem auf Veranlassung des Betreibers, nach einem Neustart des Servers und bei einer Neubereitstellung nach einem nicht behebbaren Fehler. Es gibt keine Sicherungskopien; der Schlüsseldienst dieser Umgebung hält seine Schlüssel nur im Arbeitsspeicher, deshalb wird die Umgebung nach jedem Neustart des Servers neu bereitgestellt.

Die Zugänge zu dieser Testumgebung vergibt der Betreiber persönlich. Ein Zugang besteht aus einem Anmeldenamen und einer erfundenen E-Mail-Adresse und enthält weder einen echten Namen noch eine echte E-Mail-Adresse. Rückmeldungen zur Testumgebung geben Sie bitte außerhalb der Plattform – nicht in Dokumenten oder Akten dieser Umgebung.

Wer als Administrator weitere Benutzer anlegt, muss Vorname, Nachname und E-Mail-Adresse eingeben – bitte ausschließlich erfundene Namen und Adressen. Solche zusätzlich angelegten Benutzer melden sich mit einem Passwort an, das sie bei der ersten Anmeldung ändern müssen; eine Authenticator-App als zweiten Faktor ist für sie nicht voreingestellt und wird nur vom Betreiber für einzelne Benutzer eingeschaltet.

Die Anwendungen halten außerdem fest, welches Benutzerkonto eine Aktion ausgeführt hat, etwa wer ein Dokument angelegt oder geändert hat; diese Zuordnung dient dem Betrieb der Testumgebung. Die Zugänge, diese Zuordnungen und alles, was Nutzerinnen und Nutzer in der Testumgebung anlegen, werden mit der Umgebung bei jeder neuen Bereitstellung gelöscht.

Zwecke, Rechtsgrundlage und berechtigtes Interesse

Personenbezogene Daten werden in dieser Testumgebung zu zwei Zwecken verarbeitet: erstens, um Ihnen die Testumgebung, die Sie nutzen möchten, technisch bereitzustellen – also die Seiten auszuliefern, Ihre Anmeldung zu ermöglichen und Ihre Sitzung aufrechtzuerhalten; zweitens, um die öffentlich erreichbare Anmeldung vor unbefugten Zugriffen zu schützen.

Rechtsgrundlage ist für alle auf dieser Seite genannten Daten – die Zugangsdaten, die vier unten beschriebenen Speicher, die technischen Protokolle der übrigen Dienste und des Bereitstellungsvorgangs und die Angaben in den Cookies des Anmeldedienstes – Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse ist es, die öffentlich erreichbare Anmeldung vor unbefugten Zugriffen zu schützen – insbesondere automatisierte Rate- und Durchprobierversuche mit Passwörtern oder fremden Zugangsdaten je Quelle und je Benutzerkonto auch im Nachhinein erkennen zu können – und Ihnen die Testumgebung, die Sie nutzen möchten, technisch bereitzustellen. Wir holen keine Einwilligung ein.

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben, und niemand ist verpflichtet, sie bereitzustellen. Ohne die technisch notwendigen Verbindungsdaten, die bei jedem Aufruf für jede Besucherin und jeden Besucher anfallen, können die Seiten jedoch nicht aufgerufen werden; ohne die Anmeldedaten kann die Testumgebung nicht genutzt werden.

Welche Daten gespeichert werden und wie lange

Die Testumgebung hält personenbezogene Daten an vier Stellen fest, die im Folgenden einzeln beschrieben sind; hinzu kommen die technischen Protokolle der übrigen Dienste und des Bereitstellungsvorgangs. Alle diese Daten enden spätestens mit der nächsten vollständigen Neubereitstellung der Umgebung; nur das Zugriffsprotokoll des Servers und die Protokolle des Bereitstellungsvorgangs folgen eigenen Fristen. Einsehen kann diese Daten nur der Betreiber.

1. Protokoll fehlgeschlagener Anmeldungen

Der Anmeldedienst unter auth.test.limodoc.de schreibt jeden fehlgeschlagenen Anmeldeversuch in sein Container-Protokoll, also in die laufende Protokollausgabe des Dienstes. Das gilt für jeden, der sich anzumelden versucht, nicht nur für Testerinnen und Tester. Die Angaben stammen aus der Anmeldeanfrage des jeweiligen Clients, also des Browsers oder Programms, das die Anfrage stellt; gibt jemand den Anmeldenamen oder die Adresse einer anderen Person ein, betrifft der Eintrag auch diese Person. Ein Eintrag enthält:

• Zeitpunkt des Versuchs
• Ereignistyp (die Art des Ereignisses, hier eine fehlgeschlagene Anmeldung)
• Realm (der Anmeldebereich der Testumgebung)
• Client (die aufgerufene Anwendung)
• Benutzerkennung (die interne Kennung des Benutzerkontos)
• vollständige IP-Adresse
• Fehler (der Grund, aus dem die Anmeldung fehlschlug)
• Authentifizierungsmethode (die Art, wie die Anmeldung versucht wurde)
• eingegebener Anmeldename

Bei einer Anmeldung im Browser kommen hinzu:

• redirect_uri (Rücksprungadresse: die Adresse der Anwendung, zu der nach der Anmeldung zurückgeleitet wird)
• code_id (eine Kennung des Anmeldevorgangs)
• auth_type (die Art des Anmeldevorgangs)

Meldet sich ein Programm direkt mit Anmeldename und Passwort an, kommen stattdessen hinzu:

• grant_type (die Art der Anfrage)
• client_auth_method (die Art, wie sich die anfragende Anwendung ausweist)

Erfolgreiche Anmeldungen werden in diesem Protokoll nicht festgehalten, solange der Anmeldedienst so eingestellt ist wie derzeit. Sie erscheinen aber an anderer Stelle: in den Sitzungen (3.) und im Zugriffsprotokoll des Servers (4.).

Diese Einträge dienen dem Schutz der Anmeldung: Fehlgeschlagene Versuche sollen je Quelle und je Benutzerkonto auch im Nachhinein erkannt werden können. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Die Einträge werden mit dem Container des Anmeldedienstes gelöscht: bei der nächsten vollständigen Neubereitstellung oder wenn der Container nach 23 Tagen Laufzeit neu erstellt wird, im Übrigen in der Regel innerhalb von 30 Tagen.

2. Fehlversuchsstand je Benutzerkonto

Zusätzlich führt der Anmeldedienst in seiner Datenbank, in der Tabelle login_failure (Fehlversuche), für jedes Benutzerkonto, bei dem eine Anmeldung fehlschlug, einen Fehlversuchsstand. Er enthält:

• Benutzerkennung
• Zahl der Fehlversuche
• vorübergehende Sperren
• Fehlversuche beim zweiten Faktor
• Zeitpunkt des letzten Fehlversuchs
• bis wann das Konto gesperrt ist
• vollständige IP-Adresse des letzten Fehlversuchs – die Adresse, von der der letzte Fehlversuch kam; das kann die Inhaberin oder der Inhaber des Kontos sein, aber auch eine andere Person, die sich unter diesem Konto anzumelden versucht

Dieser Stand ist eine Schutzmaßnahme gegen das massenhafte Ausprobieren von Passwörtern: Nach mehreren Fehlversuchen sperrt der Anmeldedienst das Konto vorübergehend für kurze Zeit. Er dient damit dem Schutz der Anmeldung und dazu, Fehlversuche je Benutzerkonto auch im Nachhinein erkennen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Der Fehlversuchsstand endet spätestens bei der nächsten vollständigen Neubereitstellung; die Neuerstellung des Containers nach 23 Tagen entfernt ihn nicht, und ob der Stand früher endet, ist nicht gemessen.

3. Sitzungen

Wenn Sie sich erfolgreich anmelden, legt der Anmeldedienst eine Sitzung an; eine erfolgreiche Anmeldung wird also hier festgehalten. Eine Sitzung enthält unter anderem:

• Benutzerkennung
• Beginn und letzte Verlängerung der Sitzung
• ob „Angemeldet bleiben“ gewählt wurde
• Sitzungs- und Client-Notizen (technische Zusatzangaben des Anmeldedienstes zur Sitzung und zur jeweiligen Anwendung)
• vollständige IP-Adresse, zweimal gespeichert: in der Sitzung selbst und in ihrer Gerätenotiz

Die Gerätenotiz enthält außerdem:

• Browser
• Betriebssystem und Version
• Gerät
• Mobilgerät-Kennzeichen (ob es sich um ein Mobilgerät handelt)
• letzter Zugriff

Die Sitzung hält Ihre Anmeldung aufrecht, solange Sie die Testumgebung nutzen; sie dient außerdem der Sicherheit, weil sich mit ihr nachvollziehen lässt, welche Sitzungen und Geräte zu einem Konto bestehen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Eine Sitzung endet nach 1 Stunde ohne Nutzung und spätestens nach 10 Stunden; eine sogenannte Offline-Sitzung, mit der eine Anwendung die Anmeldung ohne erneute Eingabe fortsetzen kann, endet nach 30 Tagen ohne Nutzung. Alle Sitzungen enden außerdem bei der nächsten vollständigen Neubereitstellung.

4. Zugriffsprotokoll des Servers

Der Server, der alle Seiten der Testumgebung ausliefert, führt ein Zugriffsprotokoll. Es erfasst jeden Besucher und jede Besucherin und dabei jede Anfrage, einschließlich der Anmeldung. Das Protokoll führt derselbe Betreiber auf demselben Server. Ein Eintrag enthält:

• die IP-Adresse, gekürzt: von einer IPv4-Adresse bleiben die ersten drei Blöcke erhalten (/24), von einer IPv6-Adresse die ersten 48 Bit (/48)
• den Quellport, ungekürzt (die Verbindungsnummer, die das anfragende Gerät für die Verbindung wählt)
• Zeitstempel
• Methode (etwa Abrufen oder Absenden)
• Host (der aufgerufene Rechnername)
• Pfad und Abfrageparameter (die aufgerufene Adresse einschließlich der Angaben nach dem Fragezeichen, soweit sie nicht vor dem Speichern herausgefiltert werden)
• Protokollversion
• TLS-Parameter, also Angaben zur Verschlüsselung der Verbindung, darunter der angefragte Rechnername (SNI)
• die Kopfzeilen der Anfrage, so wie der Browser sie sendet – insbesondere die Kennung des Browsers (User-Agent), die bevorzugte Sprache, Client Hints (Angaben des Browsers über Gerät und Browserversion) und die Herkunft der Anfrage (Origin); einige Felder werden vor dem Speichern entfernt, darunter Cookies, Anmeldeinformationen (Authorization), weitergeleitete Adressangaben (X-Forwarded-For, Forwarded, X-Real-IP) und die zuvor besuchte Seite (Referer)
• die Kopfzeilen der Antwort, ihren Status, ihre Größe, die übertragene Datenmenge und die Dauer der Antwort

Weil die Kopfzeilen so aufgezeichnet werden, wie der Browser sie sendet, wird auch eine Adresse aufgezeichnet, die ein Client selbst in eine der nicht entfernten Kopfzeilen schreibt. Auch gekürzt bleiben diese Angaben personenbezogen: Zusammen mit Zeitstempel, Quellport und Browserkennung kann ein einzelner Client unter Umständen wiedererkannt werden.

Das Zugriffsprotokoll dient dazu, die Seiten auszuliefern und den Betrieb zu überwachen, und es dient der Sicherheit: Missbrauch und Angriffe sollen auch im Nachhinein erkannt werden können. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Das Protokoll beginnt jeden Tag eine neue Datei; ältere Tagesdateien werden nach etwa vier Wochen entfernt, sodass jeder Eintrag höchstens 30 Tage aufbewahrt wird.

Technische Protokolle der übrigen Dienste

Die übrigen Dienste der Testumgebung, etwa die Anwendungen, die Datenbank und der Speicherdienst, schreiben technische Protokolle für Betrieb und Fehlersuche. Diese Protokolle können in Einzelfällen eine IP-Adresse enthalten. Sie werden durch laufende Rotation in ihrem Umfang begrenzt und verschwinden mit den Containern bei der nächsten vollständigen Neubereitstellung. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Der Vorgang, der die Umgebung bei jeder Bereitstellung neu aufsetzt, schreibt für Betrieb und Fehlersuche eigene Protokolle: Protokolldateien auf dem Server und Einträge im Systemprotokoll des Servers. Zu den Zugängen, die der Betreiber einzelnen Personen zuteilt, enthalten sie keine Anmeldenamen, E-Mail-Adressen oder Passwörter, wohl aber Zählwerte, die interne Kennung des jeweils zugehörigen Mandanten (des eigenen Datenbereichs eines Zugangs) und dessen vom Betreiber vergebenen Namen, nach einem fehlgeschlagenen Schritt auch die interne Kennung eines Benutzerkontos. Protokolldateien, die älter als 30 Tage sind, werden bei der nächsten erfolgreichen vollständigen Bereitstellung entfernt; ältere Einträge im Systemprotokoll entfernt der Server nach dessen eigenen Speichergrenzen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Cookies und Anmeldestatus im Browser

Der Anmeldedienst setzt beim Anmelden Cookies – insbesondere AUTH_SESSION_ID, KC_RESTART, KEYCLOAK_IDENTITY und KEYCLOAK_SESSION; sie kennzeichnen den laufenden Anmeldevorgang und Ihre Sitzung. Die Anwendungen halten Ihren Anmeldestatus im Browser. Beides ist unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen. Nach § 25 Abs. 2 Nr. 2 TDDDG ist dafür keine Einwilligung nötig; wir holen daher keine Einwilligung ein und zeigen kein Cookie-Banner. Für die personenbezogenen Daten, die diese Angaben enthalten, ist Rechtsgrundlage Art. 6 Abs. 1 Buchst. f DSGVO.

Die Anwendungen legen außerdem ihre Programmdateien im Browser ab, ebenso die Anzeigeeinstellungen, die Sie selbst wählen: die Sprache, die helle oder dunkle Darstellung und ob die Seitenleiste eingeklappt ist. Programmdateien und Anzeigeeinstellungen enthalten keine personenbezogenen Daten.

Empfänger und Übermittlung in Drittländer

Die auf dieser Seite genannten Daten werden an niemanden weitergegeben. Das Zugriffsprotokoll führt derselbe Betreiber auf demselben Server; die Statusmeldungen, die der Betreiber über den Zustand der Umgebung erhält, enthalten keine personenbezogenen Daten. Die Verarbeitung findet auf einem Server in Deutschland statt; eine Übermittlung in ein Drittland außerhalb der EU und des EWR findet nicht statt.

Ihre Rechte

Sie haben nach der DSGVO, jeweils soweit die gesetzlichen Voraussetzungen vorliegen, die folgenden Rechte:

• Recht auf Auskunft (Art. 15 DSGVO) über die zu Ihnen gespeicherten Daten
• Recht auf Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Ihr Widerspruchsrecht ist im folgenden Abschnitt gesondert beschrieben. Um eines dieser Rechte geltend zu machen, schreiben Sie bitte an info@limotech.ai.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit der Verarbeitung Sie betreffender Daten zu widersprechen, die auf Art. 6 Abs. 1 Buchst. f DSGVO beruht; das betrifft alle auf dieser Seite beschriebenen Verarbeitungen. Nach einem Widerspruch werden diese Daten nicht mehr verarbeitet, es sei denn, der Verantwortliche kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ihren Widerspruch richten Sie bitte an info@limotech.ai.

Beschwerderecht

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 Abs. 1 DSGVO). Die Aufsichtsbehörde am Sitz des Verantwortlichen ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34
55116 Mainz
Postanschrift: Postfach 30 40, 55020 Mainz
E-Mail: poststelle@datenschutz.rlp.de
Website: www.datenschutz.rlp.de

Sie können sich auch an eine andere Aufsichtsbehörde wenden, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Die vorübergehende Sperre eines Kontos nach mehreren Fehlversuchen ist eine technische Schutzmaßnahme gegen das Ausprobieren von Passwörtern; sie bewertet keine persönlichen Merkmale und ist keine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

Stand dieser Hinweise

Stand: 29. Oktober 2026. Diese Hinweise werden überarbeitet, wenn sich die Testumgebung ändert. Die Angaben zum Anbieter finden Sie im Impressum.

• Impressum