Datenschutzerklärung und Datenwege

01

Art. 13 DSGVO

Verantwortlicher und Datenschutzkontakt

Roberto Festoso
Kostheimer Landstraße 75d
55246 Mainz-Kostheim
Deutschland

E-Mail: info@funnelconcepts.de
Telefon: +49 152 26384875

Der Betreiber hat bestätigt, dass kein Datenschutzbeauftragter bestellt ist und das Einzelunternehmen keine Beschäftigten hat. Der zahlenmäßige Regelfall des § 38 Abs. 1 Satz 1 BDSG ist damit nicht erreicht. Im technisch geprüften Betrieb wurden außerdem keine Verarbeitungstätigkeiten festgestellt, die für sich eine Benennungspflicht nach Art. 37 Abs. 1 lit. b oder c DSGVO beziehungsweise § 38 Abs. 1 Satz 2 BDSG erkennen lassen. Diese Einordnung ist bei neuen Beschäftigten, neuen Verarbeitungstätigkeiten, einer Datenschutz-Folgenabschätzung oder einer geschäftsmäßigen Übermittlung beziehungsweise Markt- oder Meinungsforschung erneut zu prüfen. Datenschutzanfragen können unmittelbar an den Verantwortlichen gerichtet werden.

02

Geprüfte öffentliche Website

Welche öffentlich belegten Datenwege diese Erklärung abbildet

Diese Erklärung beruht auf dem öffentlichen Read-only-Scan vom 9. September 2026 und den bestätigten Betreiberangaben. Laravel liefert vorgerenderte Seiten aus; Bilder, Schriften, Stylesheets und JavaScript werden von der eigenen Domain geladen. Öffentliche Antworten können technisch erforderliche Laravel-Session- und CSRF-Cookies setzen. Im geprüften öffentlichen Scan wurden keine eingebetteten externen Analyse- oder Marketingressourcen festgestellt; nicht öffentliche Server-, Admin- und Schedulerwege sind davon nicht umfasst.

Bestätigt sind das produktive Webhosting bei Alfahosting auf web49.alfahosting-server.de, die lokale Speicherung einer bewusst gespeicherten Datenschutzauswahl und – erst nach bewusstem Absenden – die direkte Übermittlung der Suchparameter an Buswelt. Der Reise-Kompass kann sichtbar ausgeliefert werden; nach Betreiberangabe ist seine serverseitige Erhebung pausiert. Aus der sichtbaren Oberfläche oder aus bloßer Codeexistenz wird kein weiterer Aktivstatus abgeleitet. Nicht öffentlich verifizierte Server-, Admin- und Schedulerwege sind von dieser Erklärung nur erfasst, soweit ihr tatsächlicher Betrieb nachgewiesen wurde.

Öffentlich belegt

Hosting, Sicherheits- und Serverprotokolle
notwendige Laravel-Session- und CSRF-Technik
busreisenjuwel_consent_v1, wenn Sie Ihre Auswahl speichern
selbst gehostete Bilder, Schriften, CSS- und JavaScript-Dateien

Erst durch Ihre Handlung

Buswelt-Suche erst mit Klick auf „Suchen“
externe Quellen- und Lizenzseiten erst mit Klick
E-Mail-Verarbeitung erst, wenn Sie eine Nachricht senden

Im öffentlichen Scan nicht erkannt

eingebettete externe Analyse- oder Marketingressourcen
eingebettete Buswelt-iFrames oder fremde Buchungsmodule
öffentliches Lead-, Newsletter- oder Buchungsformular

Nicht aus Code ableitbar

effektive Server-, Admin- und Schedulerkonfiguration
tatsächliche interne Verarbeitungs- und Löschläufe
historische Tabellen- und Sicherungsbestände

03

Seitenauslieferung und Sicherheit

Webhosting durch Alfahosting

Die Website wird auf dem bestätigten Produktionsserver web49.alfahosting-server.de bei der Alfahosting GmbH, Edmund-von-Lippmann-Straße 13–15, 06112 Halle (Saale), Deutschland betrieben. Beim Seitenaufruf werden technisch insbesondere IP-Adresse, Datum und Uhrzeit, angeforderter Pfad und HTTP-Methode, Statuscode, übertragene Datenmenge, Referrer – sofern übermittelt –, Browser-/User-Agent-Angaben sowie Sicherheits- und Fehlerereignisse verarbeitet.

Zwecke sind Auslieferung der angeforderten Seite, Betrieb von TLS/HTTPS, Last- und Fehleranalyse, Schutz vor Angriffen und Missbrauch sowie Nachweis und Wiederherstellung der Systemsicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die berechtigten Interessen liegen in einem sicheren, stabilen und wirtschaftlichen Webbetrieb. Für die reine Übertragung und unbedingt erforderliche technische Speicherung gilt § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist hierfür nicht erforderlich.

Empfänger sind der Betreiber und Alfahosting als Hosting-/Infrastrukturunternehmen sowie gegebenenfalls weisungsgebundene Unterauftragnehmer. Aktuelle Alfahosting-Webhostingangebote nennen Deutschland als Serverstandort. Daraus lässt sich jedoch nicht ableiten, in welchem konkreten Rechenzentrum der bestätigte Produktionsserver oder dessen Sicherungen liegen. Unterauftragnehmer sowie Server-, Support- und Backupstandorte müssen deshalb anhand des individuellen Vertrags und Auftragsverarbeitungsvertrags bestätigt werden.

Alfahosting erklärt für Webserver-Access- und Errorlogs, dass IP-Adressen nach 24 Stunden anonymisiert und die Logs spätestens nach 7 Tagen gelöscht werden. Für aktuelle CloudPit-Webhostingangebote beschreibt der Anbieter Sicherungen im Drei-Stunden-Rhythmus mit tarifabhängiger Aufbewahrung von 7 oder 14 Tagen. Welcher Tarif und welche zusätzliche Sicherungs- oder Sonderregel für Busreisenjuwel tatsächlich gelten, ist noch im Kundencenter beziehungsweise Vertrag zu prüfen.

Datenschutz bei Alfahosting → Alfahosting zu Webserver-Logs → Alfahosting zu Webhosting-Backups → Alfahosting-Impressum →

04

Technisch erforderliche Cookies

Session- und CSRF-Technik kann auch öffentliche Antworten begleiten

Die Verarbeitung dient Integrität, Zugriffsschutz und angeforderten Sitzungsfunktionen (Art. 6 Abs. 1 lit. b beziehungsweise f DSGVO). Der hierfür erforderliche Endgerätezugriff kann unter § 25 Abs. 2 Nr. 2 TDDDG fallen. Empfänger sind Betreiber sowie Hosting- und Datenbankinfrastruktur; Unterauftragnehmer, Vertrags-, Support- und Backupwege bleiben zu verifizieren.

Ob und wann serverseitige Sitzungsdatensätze tatsächlich bereinigt werden, ist Teil der Produktionsinventur. Bei einem konkreten Sicherheitsvorfall können erforderliche Nachweise nach dokumentierter Prüfung länger gesichert werden.

Öffentliche Reise- und Rechtsseiten

Im öffentlichen Read-only-Scan setzten Startseite, Reiseguides und Rechtsseiten die technisch erforderlichen Cookies XSRF-TOKEN und busreisenjuwel-session. Sie dienen der Sitzungsintegrität und Sicherheit, nicht der werblichen Wiedererkennung.

Login und geschützter Adminbereich

Im Login und geschützten Adminbereich schützt XSRF-TOKEN vor gefälschten Anfragen; busreisenjuwel-session ordnet die Sitzung zu. Serverseitig können dort zusätzlich Benutzer-ID, IP-Adresse, User Agent, Sitzungsinhalt und letzte Aktivität verarbeitet werden. Reguläre Websitebesucher benötigen den Adminbereich nicht.

Laufzeit und „angemeldet bleiben“

Konkrete Cookie-Attribute, Laufzeiten, serverseitige Bereinigung und eine mögliche „Angemeldet bleiben“-Dauer richten sich nach der wirksamen Produktionskonfiguration. Diese Werte werden nicht aus Entwicklungsdefaults abgeleitet und müssen vor ihrer zahlenmäßigen Veröffentlichung read-only bestätigt werden.

05

LocalStorage statt Tracking-Cookie

busreisenjuwel_consent_v1 speichert nur Ihre Auswahl

Wenn Sie Ihre Auswahl speichern, wird der Schlüssel busreisenjuwel_consent_v1 im lokalen Speicher Ihres Browsers abgelegt. Enthalten sind die gewählten Kategorien „notwendig“, „Analyse“ und „Marketing“, der Speicherzeitpunkt, das Ablaufdatum und die Version der Auswahl. Die Speicherdauer beträgt höchstens 180 Tage; danach ist die Auswahl nicht mehr gültig.

Zweck ist, Ihre Entscheidung über Seitenaufrufe hinweg zu beachten und optionale Funktionen nicht ohne Freigabe zu starten. Die lokale Speicherung ist für diesen von Ihnen angeforderten Datenschutzmechanismus erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung beruht auf Art. 6 Abs. 1 lit. c und f DSGVO: Nachweis und Umsetzung datenschutzrechtlicher Vorgaben sowie das Interesse an einer verlässlichen Einwilligungssteuerung.

Die Auswahl bleibt im verwendeten Browser und wird nicht als Nutzerprofil an einen externen Analysedienst gesendet. Sie können sie über Cookie-Einstellungen ändern oder durch Löschen der Website-Daten im Browser entfernen. Der Widerruf wirkt für die Zukunft und berührt die Rechtmäßigkeit vorheriger Verarbeitung nicht.

06

Externe Partnersuche erst beim Absenden

Welche Daten die Suchweiterleitung an Buswelt sendet

Die Suchfelder stehen auf Busreisenjuwel, laden jedoch keine Buswelt-Inhalte und kein Buswelt-Skript vorab. Erst wenn Sie „Suchen“ betätigen, öffnet sich im selben Browserfenster eine Ergebnisadresse auf www.buswelt.de. Die Anfrage nutzt die HTTP-Methode GET.

Übertragen werden die von Ihnen eingegebenen Felder abfahrtsort und reiseziel, der technische Suchmodus inet=1, die Partnerkennung bw24id=robertofestoso-bw1 sowie formsubmitbtn=1 als technischer Absendeparameter. Beim Verbindungsaufbau erhält Buswelt außerdem technisch üblich IP-Adresse, Datum/Uhrzeit, Browser-/Geräteangaben, Referrer – soweit Ihr Browser ihn übermittelt – und die aufgerufene URL. Weil Suchwerte in der URL stehen, können sie in Browserhistorie und Serverprotokollen erscheinen. Geben Sie deshalb keine sensiblen persönlichen Daten in diese beiden Felder ein.

Das Buswelt-Formular übermittelt ausschließlich die zuvor aufgeführten Suchparameter direkt an Buswelt; Busreisenjuwel erhält den abgeschickten GET-Aufruf nicht als eigene Suchanfrage. Zweck ist die von Ihnen ausgelöste Anzeige externer Reiseangebote und die Zuordnung der Partnerschaft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Bereitstellung und Finanzierung der ausdrücklich aufgerufenen Partnersuche. Soweit die Übermittlung auf Ihre Anfrage hin für vorvertragliche Maßnahmen erforderlich ist, kommt ergänzend Art. 6 Abs. 1 lit. b DSGVO in Betracht. Vor dem Absenden findet kein Buswelt-Endgerätezugriff über Busreisenjuwel statt.

Empfänger und für die Zielseite eigenständig Verantwortlicher ist nach dem dortigen Impressum die Thomas Behne, Maik Kühne, Martin Schröder GbR, Zelterstraße 8, 10439 Berlin (buswelt.de). Ab Öffnung der Zielseite gelten die aktuellen Datenschutz- und Cookiehinweise von Buswelt. Busreisenjuwel steuert diese Einstellungen nicht. Konkrete Attributions- und Cookie-Dauern, weitere Empfänger, Löschfristen und mögliche Drittlandübermittlungen werden ohne belastbaren aktuellen Primärquellen- oder Vertragsnachweis nicht behauptet.

Nach ausdrücklicher Betreiberangabe zeigt das Buswelt-Partnerkonto Busreisenjuwel ausschließlich Provisionsinformationen. Personenbezogene Daten der bei Buswelt buchenden Reisenden – insbesondere Name, E-Mail-Adresse, Anschrift oder sonstige eigene Kundendaten – sind dort für Busreisenjuwel nicht sichtbar. Diese Aussage beruht auf der Betreiberangabe und soll durch eine redigierte Feldübersicht bestätigt werden. Attributionsdauer, Löschfristen, weitere Empfänger, ein möglicher Drittlandbezug und die vertragliche Rollenverteilung bleiben bis zur Prüfung der individuellen Partnervereinbarung offen.

Datenschutzhinweise von Buswelt → Affiliate-Transparenz →

07

Quellen, Behörden und Bildlizenzen

Verbindungen zu anderen Websites entstehen erst beim Klick

Reiseguides enthalten Links zu Behörden, Tourismusstellen, Quellen, Wikimedia Commons, Lizenztexten und weiteren externen Seiten. Es sind normale Links; die Zielseite wird nicht unsichtbar eingebettet oder vorab geladen. Erst Ihr Klick stellt die Verbindung her. Dann verarbeitet die Zielseite regelmäßig IP-Adresse, Zeitpunkt, Ziel-URL, Browserdaten und möglicherweise einen Referrer in eigener Verantwortung.

Zweck ist, Quellen und weiterführende Informationen zugänglich zu machen. Grundlage auf Seiten von Busreisenjuwel ist Art. 6 Abs. 1 lit. f DSGVO; das Interesse liegt in nachvollziehbarer Recherche und nutzergewählter Weiterleitung. Einwilligung nach § 25 TDDDG ist auf Busreisenjuwel nicht erforderlich, solange vor dem Klick kein Zugriff des Dritten auf Ihr Endgerät erfolgt. Speicherdauer und Drittlandbezug richten sich nach der Zielseite.

08

Freiwillige Kommunikation

Datenverarbeitung, wenn Sie uns schreiben

Bei einer E-Mail verarbeiten wir Absender- und Empfängeradresse, Betreff, Nachricht, Anhänge, Zeitpunkt sowie transportbedingte Header- und Protokolldaten. Zweck ist die Bearbeitung, Beantwortung, Dokumentation und – falls erforderlich – Abwehr oder Durchsetzung rechtlicher Ansprüche.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche oder vertragliche Kommunikation, sonst Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die sachgerechte Kommunikation und Beweissicherung. Bei gesetzlichen Aufbewahrungspflichten gilt zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

Für die Domains funnelconcepts.de und busreisenjuwel.de wurden im technischen DNS-Stand MX-Hostnamen unter secure-mailgate.com beobachtet. Diese Beobachtung belegt weder den konkreten E-Mail-Vertragspartner noch Auftragsverarbeitung, Unterauftragnehmer, Support-, Filter-, Backup- oder Speicherorte. Ob E-Mail tatsächlich bei Alfahosting betrieben wird, ist noch zu bestätigen. Auch eine belastbare tatsächliche Mailbox-, Archivierungs-, Backup- und Löschpraxis einschließlich E-Mail-Aufbewahrungsdauer liegt noch nicht vor. Gesetzliche Aufbewahrungs- oder Nachweispflichten können im Einzelfall Grenzen setzen, ergeben aber ohne Prozessinventur keine bestätigte Ist-Frist.

Normale E-Mail ist auf den beteiligten Transportwegen nicht durchgehend Ende-zu-Ende-verschlüsselt. Übermitteln Sie keine Gesundheits-, Ausweis-, Zahlungs- oder Buchungsunterlagen unverschlüsselt an die allgemeine Kontaktadresse.

09

Sichtbare Oberfläche und Servererhebung trennen

Reise-Kompass sichtbar, serverseitige Erhebung nach Betreiberangabe pausiert

Der Reise-Kompass kann auf öffentlichen Seiten sichtbar sein. Seine geprüfte Frontend-Komponente verarbeitet eingegebene Antworten zunächst flüchtig im Browser. Nach ausdrücklicher Betreiberangabe ist die serverseitige Erhebung von Umfrageantworten derzeit pausiert. Aus der sichtbaren Oberfläche oder aus vorhandenen Code-Endpunkten allein wird keine aktive Übertragung abgeleitet.

Im öffentlichen Read-only-Scan vom 9. September 2026 wurden keine eingebetteten externen Analyse- oder Marketingressourcen festgestellt. Diese Aussage umfasst nicht automatisch private Server-, Admin-, CLI- oder Schedulerwege; deren produktiver Zustand gehört in die gesonderte Produktionsinventur.

Die lokalen Auswahlfelder „Analyse“ und „Marketing“ speichern nur eine Präferenz. Sie aktivieren für sich allein keinen optionalen Dienst. Eine spätere Aktivierung muss vorab technisch und rechtlich geprüft, transparent beschrieben und – soweit erforderlich – wirksam an die Einwilligung gekoppelt werden.

10

Künftige Funktion

Interne Partnerweiterleitungen vor Veröffentlichung gesondert prüfen

Sollte Busreisenjuwel künftig eine interne Partnerweiterleitung veröffentlichen, muss sie vor ihrer Aktivierung gesondert gekennzeichnet, datenschutzrechtlich und technisch geprüft und in diesen Hinweisen dokumentiert werden. Die bloße Existenz vorbereitenden Codes belegt keine produktive Nutzung.

Vor einer solchen Veröffentlichung sind mindestens Anbieter, Zweck, übermittelte und gespeicherte Daten, Rechtsgrundlage, Empfänger, möglicher Drittlandbezug, Aufbewahrung und eine gegebenenfalls erforderliche Einwilligungssteuerung belastbar festzulegen. Einzelheiten zur kommerziellen Kennzeichnung stehen unter Affiliate- und Werbetransparenz.

11

Keine pauschale Weitergabe

Empfängerkategorien und Drittlandbezug

Empfänger erhalten Daten nur, wenn dies für den jeweiligen Zweck erforderlich und rechtlich zulässig ist. Im geprüften Ablauf kommen insbesondere Alfahosting beziehungsweise technische dogado-Infrastruktur, Buswelt nach aktivem Absenden der Suche, E-Mail-Infrastruktur, weisungsgebundene IT-Dienstleister, Rechts- oder Steuerberatung und gesetzlich berechtigte Behörden in Betracht.

Im am 9. September 2026 geprüften ausgelieferten Seitencode fand keine Weitergabe von Websitebesuchsdaten an fremde Werbenetzwerke statt und wurde keine unmittelbar eingebundene Drittlandintegration erkannt. Daraus folgt keine Gesamt-Negativaussage für Infrastruktur und Verträge: Unterauftragnehmer sowie Hosting-, E-Mail-, Support- und Backupwege und der partnerkontospezifische Drittlandbezug müssen noch vertraglich bestätigt werden. Öffnen Sie eine externe Seite, gelten für einen möglichen Drittlandtransfer deren aktuelle Hinweise. Falls Busreisenjuwel künftig selbst einen Drittlanddienst nutzt, muss vor Aktivierung eine Rechtsgrundlage nach Art. 44 ff. DSGVO geprüft und transparent beschrieben werden.

12

Löschregeln nach Zweck

Wie lange die einzelnen Daten verbleiben

Ist eine Frist nicht kalendermäßig vorgegeben, entscheiden Zweckfortbestand, gesetzliche Aufbewahrung, konkrete Sicherheitsereignisse und mögliche Rechtsansprüche. Nach Wegfall aller Gründe werden Daten gelöscht oder so anonymisiert, dass ein Personenbezug nicht mehr hergestellt werden kann. Diese allgemeine Regel ersetzt keine dokumentierte Produktionsinventur und keine getestete Löschroutine; die noch offenen Ist-Zustände sind als C_CAN_BE_VERIFIED_READ_ONLY_ON_PRODUCTION eingeordnet.

Laravel-Session und CSRF: Öffentliche Antworten können die notwendigen Cookies XSRF-TOKEN und busreisenjuwel-session setzen. Konkrete Attribute, Laufzeit, serverseitige Aufbewahrung und Bereinigung müssen aus der wirksamen Produktionskonfiguration read-only bestätigt werden.
Option „Angemeldet bleiben“: Kann im geschützten Login einen zusätzlichen Erinnerungscookie verwenden. Effektive Produktionslaufzeit und Bereinigung sind vor einer konkreten Veröffentlichung zu prüfen.
Einwilligungsauswahl im LocalStorage: höchstens 180 Tage oder bis zur manuellen Löschung.
Buswelt-Suchbegriffe: Das lokale Formular sendet die Suchparameter per GET direkt an Buswelt; Busreisenjuwel erhält diesen abgeschickten Request nicht als eigene Suchanfrage. Attributions-, Cookie- und Löschfristen bei Buswelt werden ohne belastbaren aktuellen Primärquellen- oder Vertragsnachweis nicht beziffert.
Alfahosting-Webserverprotokolle: laut aktueller offizieller Anbieterinformation IP-Anonymisierung nach 24 Stunden und Löschung spätestens nach 7 Tagen; gesetzlich erforderliche Sicherungen bei einem konkreten Sicherheitsvorfall sind gesondert zu beurteilen.
Monitoring, technische Vorfälle und Betriebsalarme: produktiver Datenumfang, Empfänger, tatsächliche Aufbewahrung und ausgeführte Löschroutinen sind bis zur read-only Produktionsinventur unbekannt.
Anwendungs- und Hoster-Sicherungen: tatsächliche Ausführung, Tarif, Speicherort, Aufbewahrung und Löschung sind bis zur Vertrags- und Produktionsinventur unbekannt; aus Code oder allgemeinen Anbieterangaben wird kein Ist-Wert abgeleitet.
Allgemeine E-Mail-Korrespondenz: tatsächliche Mailbox-, Archivierungs-, Backup- und Löschpraxis sowie die Aufbewahrungsdauer sind noch nicht bestätigt; mögliche gesetzliche Aufbewahrungs- und Nachweisfristen sind nach Art des Vorgangs einzuordnen.
Historische Funktionsdaten: Ob entsprechende Altbestände vorhanden sind und welche kategorienbezogenen Löschtermine gelten, ist noch nicht vollständig inventarisiert. Code, Tabellenstruktur oder ein Entwicklungsdefault werden nicht mit einem produktiven Datenbestand gleichgesetzt.

13

Art. 15 bis 22 und 77 DSGVO

Auskunft, Korrektur, Löschung und Widerspruch

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Sie können einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO aus Gründen Ihrer besonderen Situation widersprechen. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Im am 9. September 2026 geprüften Websiteablauf fand keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO statt. Eine redaktionelle oder regelbasierte Reiseempfehlung ist keine verbindliche Entscheidung über Sie. Änderungen dieses Ablaufs müssen vor Aktivierung erneut bewertet und transparent beschrieben werden.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@funnelconcepts.de. Zur Vermeidung einer Herausgabe an Unbefugte kann ein angemessener Identitätsnachweis erforderlich sein.

DSGVO – amtlicher EU-Text →

14

Beschwerderecht

Zuständige Datenschutzaufsicht in Rheinland-Pfalz

Sie können sich unbeschadet anderer Rechtsbehelfe bei einer Datenschutzaufsichtsbehörde beschweren. Am Sitz des Verantwortlichen ist zuständig:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34
55116 Mainz
E-Mail: poststelle@datenschutz.rlp.de

Kontakt der Aufsichtsbehörde →

15

TLS, Datenminimierung und Änderungen

Schutzmaßnahmen und Aktualisierung dieser Erklärung

Die Übertragung der Website erfolgt über HTTPS/TLS. Im öffentlich geprüften Stand werden Inhalte und Skripte selbst gehostet; externe Formziele sind durch die Content-Security-Policy auf die vorgesehene Buswelt-Adresse begrenzt. Öffentliche Antworten können notwendige Laravel-Session- und CSRF-Cookies setzen. Konkrete Cookie-Attribute sowie organisatorische Berechtigungs-, Update-, Backup-, Protokollauswertungs- und Wiederherstellungsprozesse bleiben Teil der Produktions- und Vertragsinventur.

Kein internetbasierter Dienst kann absolute Sicherheit garantieren. Diese Erklärung wird vor wesentlichen Funktions- oder Anbieteränderungen und nach Änderungen der Rechtslage überprüft. Technischer Prüf- und Textstand: 10. September 2026.