Datenschutzerklärung / Privacy Notice

Datenschutzerklärung — Wings49 Hub

Stand: 27. Juli 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf der Plattform „Wings49 Hub" im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Adler & Pfau GmbH
Hafenweg 16
48155 Münster
Deutschland
E-Mail: info@adler-pfau.com

Wings49 Hub ist die von der Adler & Pfau GmbH betriebene Plattform.

2. Zuständige Aufsichtsbehörde

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Die aktuellen Kontaktdaten sind auf der offiziellen Website der Behörde einsehbar.

3. Betroffenenrechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Beschwerde bei der zuständigen Aufsichtsbehörde (Art. 77 DSGVO)

Widerspruch gegen Direktwerbung: Der Verarbeitung personenbezogener Daten zum Zweck der Direktwerbung kann jederzeit ohne Angabe besonderer Gründe widersprochen werden.

Anfragen richten Sie bitte an info@adler-pfau.com. Soweit Nachweisdaten zur Erfüllung gesetzlicher Pflichten oder zur Rechtsverteidigung erforderlich sind, kann eine Löschung nur eingeschränkt möglich sein; in diesen Fällen erfolgt eine Einschränkung der Verarbeitung (Sperrung) statt einer Löschung.

4. Bereitstellung der Plattform und Serverprotokolle

Beim Aufruf der Plattform werden durch die eingesetzten Cloud- und Edge-Infrastrukturdienste technische Verbindungsdaten verarbeitet, um Verbindungsaufbau, Systemsicherheit sowie Missbrauchs- und Fehleranalyse zu gewährleisten. Verarbeitet werden insbesondere die IP-Adresse, Zeitstempel, die aufgerufene Ressource sowie technische Client-Informationen (Browsertyp/-version, Betriebssystem), soweit sie tatsächlich erfasst werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Plattformstabilität).

5. Registrierung und Authentifizierung

Für die Nutzung von Wings49 Hub ist ein Nutzerkonto erforderlich. Verarbeitet werden Name, E-Mail-Adresse, gewählte Rolle sowie ggf. Unternehmenszuordnung.

Passwörter werden nicht im Klartext gespeichert. Der eingesetzte Authentifizierungsdienst verarbeitet kryptografische Passwort-Hashes und sicherheitsrelevante Authentifizierungsinformationen.

Zur Bestätigung der E-Mail-Adresse und für sicherheitsrelevante Vorgänge (Passwort-Wiederherstellung, E-Mail-Änderung, Re-Authentifizierung) werden zeitlich begrenzte Bestätigungscodes per E-Mail versandt. Die Login-Session wird lokal im Browser gespeichert.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Konto und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit und Missbrauchsschutz).

6. Rollen, Profile und Unternehmensdaten

Wings49 Hub unterscheidet die Rollen Kandidat, Recruiter, Arbeitgeber, Dienstleister (Service Provider) und Administrator. Verarbeitet werden Profilangaben, Unternehmensdaten, Rollen- und Berechtigungszuweisungen sowie – abhängig von Ihrer Auswahl – Profil- und Titelbilder.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Angebote, Anfragen, Leads und Buchungen

Nutzer können Angebote einstellen, Anfragen versenden und Buchungen dokumentieren. Verarbeitet werden Angebots- und Anfrageninhalte, Statusinformationen (u. a. Anbieterentscheidung, Kostenträger, Bezahlstatus) sowie Rechnungsreferenzen des jeweiligen Anbieters. Zahlungen erfolgen nach dem aktuellen Produktstand direkt zwischen Anbieter und Kostenträger. Wings49 Hub verarbeitet keine Kreditkarten- oder Bankdaten.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit) sowie – soweit eine konkrete gesetzliche Pflicht besteht – Art. 6 Abs. 1 lit. c DSGVO.

8. Kandidatendaten und Freigaben

Personenbezogene Daten von Kandidaten werden gegenüber ausgewählten Anbietern erst dann offengelegt, wenn die betroffene Person die freizugebenden Datenfelder ausdrücklich freigegeben hat. Verarbeitet werden Umfang, Empfänger und Zeitpunkt der Freigabe sowie der Nachweis der Einwilligung.

Die Einwilligung kann jederzeit im Kandidaten-Dashboard mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Nach einer wirksamen Offenlegung können die ausgewählten Anbieter für ihre eigene weitere Verarbeitung selbst Verantwortliche im Sinne der DSGVO sein. Sie sind nicht automatisch Auftragsverarbeiter der Adler & Pfau GmbH.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

9. Nachrichten und Anhänge

Wings49 Hub stellt Einzel- und Gruppennachrichten inklusive Anhängen bereit. Verarbeitet werden Absender, Empfänger, Zeitstempel, Nachrichten- und Zustellstatus sowie Anhänge. Der Zugriff ist auf berechtigte Gesprächsteilnehmer sowie Administratoren mit ausdrücklich zugewiesener Zugriffsberechtigung beschränkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO.

10. Storage und Dokumente

Wings49 Hub verwendet getrennte Speicherbereiche für Profilbilder, Titelbilder, Dokumente und Nachrichtenanhänge. Diese Bereiche sind grundsätzlich privat. Der Zugriff erfolgt rollen-, eigentümer- oder beziehungsabhängig. Öffentliche Profil- und Titelbilder werden nur entsprechend der von Ihnen gewählten Profilsichtbarkeit ausgeliefert. Dokumente sind nicht allgemein öffentlich zugänglich.

11. In-App-Benachrichtigungen

Zur Steuerung des Plattformbetriebs werden Systemnachrichten und Aktionshinweise (inkl. Priorität, Aktionsziel, Lese-/Zeitstatus) angezeigt. Diese sind von persönlichen Chat-Nachrichten getrennt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO.

12. Kontaktformular und Support

Bei Nutzung des Kontaktformulars verarbeiten wir Name, E-Mail-Adresse, Betreff, Nachricht, gewählte Sprache sowie – soweit gespeichert – Zeitstempel und Zustellstatus. Empfänger ist info@adler-pfau.com.

Zur Begrenzung automatisierter oder missbräuchlicher Anfragen wird die beim Aufruf übermittelte IP-Adresse serverseitig unter Verwendung eines geheimen Schlüssels pseudonymisiert. Gespeichert wird ein Rate-Limit-Schlüssel, der nicht ohne Weiteres auf die ursprüngliche IP-Adresse zurückführbar ist. Es handelt sich hierbei um ein pseudonymes personenbezogenes Datum, nicht um eine Anonymisierung.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Kontaktaufnahme), im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Kommunikation, Missbrauchsschutz).

13. Newsletter (Double-Opt-in)

Die Newsletter-Anmeldung erfolgt freiwillig und ausschließlich per Double-Opt-in. Verarbeitet werden E-Mail-Adresse, Sprache, Anmeldequelle, Anmelde-/Bestätigungs-/Abmeldezeitpunkt sowie ein kryptografischer Token-Hash zur Bestätigung. Der Rohdaten-Token wird nicht dauerhaft gespeichert. Eine Abmeldung ist jederzeit ohne Login über den Link in jeder Newsletter-E-Mail möglich. Der Nachweis der Einwilligung wird nach Art. 7 Abs. 1 DSGVO dokumentiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

14. Authentifizierungs-, Transaktions- und System-E-Mails

Für den Versand von E-Mails setzen wir unterschiedliche Dienste ein:

• Lovable Managed Email für Authentifizierungs-E-Mails (u. a. Signup-Bestätigung, Wiederherstellung, E-Mail-Änderung, Re-Authentifizierung, Einladungen).
• Brevo (Sendinblue SAS) für Transaktions- und System-E-Mails, für den Versand des Kontaktformulars an unser Postfach sowie für Newsletter-Bestätigungs- und Abmeldemails.
• IONOS SE für Domain/DNS sowie für Empfang und Bearbeitung von E-Mails an info@adler-pfau.com.

Diese Dienstleister verarbeiten insbesondere die Empfängeradresse, den Betreff, den Nachrichteninhalt, den Zustellstatus sowie – soweit von uns tatsächlich verwendet – provider-seitige Nachrichten-IDs und Bounce-/Beschwerdeinformationen.

Ein UTM-basiertes Tracking von Verlinkungen aus unseren E-Mails haben wir deaktiviert. Es kann technisch nicht ausgeschlossen werden, dass Brevo darüber hinaus zur Zustellungsanalyse oder Reichweitenmessung weitere Zustell- und Interaktionsmetadaten (etwa Öffnungen oder Aufrufe verlinkter Inhalte) verarbeiten kann. Der jeweils aktive Konfigurationsstand wird laufend überprüft; Änderungen werden in dieser Erklärung nachgezogen. Eine Bildung von Marketing-Profilen findet nicht statt.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vertragliche Kommunikation), Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Nachweisführung), Art. 6 Abs. 1 lit. a DSGVO (Newsletter).

15. Empfänger von Daten

Für den Betrieb der Plattform setzen wir sorgfältig ausgewählte Dienstleister ein, insbesondere:

• Lovable Cloud als Plattform-Betriebsschicht.
• Managed Supabase für Authentifizierung, Datenbank und Storage.
• Lovable Managed Email für Auth-E-Mails, Brevo für System-, Kontakt- und Newsletter-E-Mails.
• IONOS SE für Domain/DNS sowie den E-Mail-Empfang an info@adler-pfau.com.
• Cloudflare als Edge- und Sicherheitsschicht (u. a. Zustellung statischer Inhalte).
• Ausgewählte Service Provider auf der Plattform als mögliche eigene Verantwortliche, sobald eine Kandidatenfreigabe wirksam wurde.

Soweit diese Anbieter als Auftragsverarbeiter im Sinne des Art. 28 DSGVO für uns tätig werden, werden die gesetzlich erforderlichen Vereinbarungen zur Auftragsverarbeitung geschlossen. Eine namentliche und tagesaktuelle Liste stellen wir auf Anfrage unter info@adler-pfau.com bereit.

Ein Verkauf personenbezogener Daten oder eine Weitergabe zu Werbezwecken findet nicht statt.

16. Internationale Datenübermittlung

Wir sind bestrebt, personenbezogene Daten vorrangig innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums zu verarbeiten. Eine ausschließliche Verarbeitung in der EU/EWR können wir für sämtliche eingesetzten Dienstleister derzeit nicht zusichern.

Soweit eine Verarbeitung außerhalb der EU/des EWR erfolgt, geschieht dies nur auf Grundlage eines nach Kapitel V DSGVO zulässigen Übermittlungsmechanismus (z. B. Angemessenheitsbeschluss, Standardvertragsklauseln, ergänzende Schutzmaßnahmen). Die konkreten Vertrags- und Transfergrundlagen unserer Dienstleister werden fortlaufend geprüft.

17. Speicherdauer

Wir verarbeiten personenbezogene Daten nur so lange, wie es für die im Einzelfall angegebenen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Konkret gilt in Grundzügen:

• Kontodaten: grundsätzlich während der aktiven Nutzung des Kontos.
• Kommunikations- und Vorgangsdaten (Nachrichten, Anfragen, Buchungsstatus): nach Zweckfortfall, soweit nicht Nachweispflichten entgegenstehen.
• Einwilligungs- und Rechtstextnachweise: solange dies für den Nachweis der Einwilligung oder zur Rechtsverteidigung erforderlich ist.
• Handels- und steuerrechtlich relevante Daten: nur im gesetzlich vorgeschriebenen Umfang und für die gesetzlich vorgeschriebene Dauer (insbesondere HGB und AO).
• Technische Sicherheitsdaten (z. B. Rate-Limit-Kennungen, Sicherheitsprotokolle): nur solange dies für Sicherheit und Missbrauchsprävention erforderlich ist.

Nach Wegfall des Zwecks oder Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten gelöscht oder – soweit eine Löschung gesetzlichen Pflichten oder überwiegenden schutzwürdigen Interessen entgegensteht – in ihrer weiteren Verarbeitung eingeschränkt (gesperrt). Nicht bestätigte Registrierungen und abgelaufene Bestätigungscodes werden nach Ablauf ihrer Gültigkeit entwertet.

18. Externe Schriftarten

Für ein einheitliches Erscheinungsbild binden wir Webfonts ein. Sofern diese über einen externen Anbieter (z. B. Google Fonts) ausgeliefert werden, kann dabei Ihre IP-Adresse an dessen Content-Delivery-Netzwerk übermittelt werden. Wir prüfen fortlaufend eine Auslieferung aus eigener Infrastruktur.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche, performante Darstellung).

19. Cookies und Browser-Speicher

Wir setzen ausschließlich technisch notwendige Cookies und Einträge im lokalen Browser-Speicher ein, insbesondere für Authentifizierung/Session, Sprachauswahl, Speicherung Ihrer Cookie-Entscheidung sowie UI-Zustand einzelner Bereiche.

Optionale Kategorien (Präferenzen, Analyse, Marketing) werden ausschließlich nach Ihrer vorherigen ausdrücklichen Einwilligung aktiviert. Nach aktuellem Stand ist auf der Website kein Analyse- oder Marketingdienst geladen. Sie können Ihre Entscheidung jederzeit über die Cookie-Einstellungen im Footer anpassen oder widerrufen.

Rechtsgrundlagen: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO (technisch notwendig); § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (optional).

20. Suchmaschinen-Verifikation

Zur Verifikation der Domaininhaberschaft gegenüber Suchmaschinen können DNS-basierte Kennungen bei unserem DNS-Anbieter hinterlegt werden. Auf der Website selbst ist hierfür kein Analyse- oder Tracking-Skript eingebunden.

21. Automatisierte Entscheidungen

Nach aktuellem Funktionsstand trifft Wings49 Hub keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in vergleichbarer Weise erheblich beeinträchtigen.

22. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, u. a. TLS-Verschlüsselung im Transport, Zeilenebene-Zugriffsschutz (RLS) auf fachlichen Datenbanktabellen, private Speicherbereiche, HMAC-basierte Pseudonymisierung sicherheitsrelevanter Kennungen sowie Rate-Limits und Audit-Ereignisse. Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

23. Änderungen dieser Datenschutzerklärung

Diese Erklärung wird bei relevanten Änderungen fortgeschrieben. Die jeweils aktuelle Fassung ist auf der Plattform abrufbar.

Privacy Notice — Wings49 Hub

Effective: 27 July 2026

This English version is a convenience translation. In case of doubt, the German version prevails.

1. Controller

The controller for the processing of personal data on the "Wings49 Hub" platform within the meaning of the General Data Protection Regulation (GDPR) is:

Adler & Pfau GmbH
Hafenweg 16
48155 Münster
Germany
E-mail: info@adler-pfau.com

Wings49 Hub is the platform operated by Adler & Pfau GmbH.

2. Supervisory authority

State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia (LDI NRW). Current contact details are available on the authority's official website.

3. Your rights

Under the GDPR you have the following rights: access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), portability (Art. 20), withdrawal of consent with effect for the future (Art. 7(3)), objection against processing based on legitimate interests (Art. 21) and complaint with the competent supervisory authority (Art. 77).

Objection to direct marketing: You may object at any time and without giving reasons to the processing of personal data for direct marketing purposes.

Please direct requests to info@adler-pfau.com. Where retention data is required to comply with legal obligations or for the defence of legal claims, erasure may be limited; in such cases we will restrict further processing instead of deleting.

4. Platform delivery and server logs

When accessing the platform, connection data is processed by the cloud and edge infrastructure services we use in order to establish the connection and to ensure system security, misuse prevention and error analysis. This typically includes the IP address, timestamps, the requested resource and technical client information (browser type/version, operating system) to the extent that it is actually recorded.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in IT security and platform stability).

5. Registration and authentication

A user account is required to use Wings49 Hub. We process your name, e-mail address, chosen role and, where applicable, company assignment.

Passwords are not stored in plain text. The authentication service processes cryptographic password hashes and security-relevant authentication information.

Time-limited confirmation codes are sent by e-mail to confirm your e-mail address and for security-relevant operations (password recovery, e-mail change, re-authentication). Your login session is stored locally in the browser.

Legal bases: Art. 6(1)(b) GDPR (account and pre-contractual measures), Art. 6(1)(f) GDPR (account security and abuse prevention).

6. Roles, profiles and company data

Wings49 Hub distinguishes the roles Candidate, Recruiter, Employer, Service Provider and Administrator. We process profile data, company data, role and permission assignments and — depending on your choice — profile and cover images.

Legal basis: Art. 6(1)(b) GDPR.

7. Offerings, requests, leads and bookings

Users can publish offerings, send requests and record bookings. We process offering and request content, status information (including provider decision, payer, payment status) and provider-side invoice references. Payments are made directly between provider and payer at the current product stage. Wings49 Hub does not process credit card or bank data.

Legal bases: Art. 6(1)(b) GDPR (performance of the contract), Art. 6(1)(f) GDPR (traceability) and — where a specific statutory obligation applies — Art. 6(1)(c) GDPR.

8. Candidate data and releases

Personal data of candidates is disclosed to selected providers only after the candidate has expressly released the specific data fields. We record scope, recipients, timing and proof of consent.

Consent may be withdrawn at any time with effect for the future in the candidate dashboard. The lawfulness of processing based on consent before its withdrawal remains unaffected.

Once disclosure has taken place, the selected providers may act as separate controllers under the GDPR for their subsequent processing. They are not automatically processors of Adler & Pfau GmbH.

Legal basis: Art. 6(1)(a) GDPR.

9. Messages and attachments

Wings49 Hub provides direct and group messaging including attachments. We process sender, recipients, timestamps, message and delivery status as well as attachments. Access is limited to authorised conversation participants and to administrators with explicitly assigned access rights.

Legal basis: Art. 6(1)(b), (f) GDPR.

10. Storage and documents

Wings49 Hub uses separate storage areas for profile pictures, cover images, documents and message attachments. These areas are generally private. Access is granted based on role, ownership or relationship. Public profile and cover images are served only in accordance with the profile visibility you have chosen. Documents are not publicly accessible.

11. In-app notifications

To operate the platform we display system notifications and action prompts (including priority, action target, read/time status). These are separate from personal chat messages.

Legal basis: Art. 6(1)(b), (f) GDPR.

12. Contact form and support

When you use the contact form, we process your name, e-mail address, subject, message, selected language and — where recorded — timestamps and delivery status. Messages are directed to info@adler-pfau.com.

To limit automated or abusive requests, the IP address transmitted when you use the form is pseudonymised server-side using a secret key. The stored rate-limit identifier is not readily traceable back to the original IP address. This is pseudonymous personal data, not anonymous data.

Legal bases: Art. 6(1)(b) GDPR (pre-contractual contact), otherwise Art. 6(1)(f) GDPR (communication, abuse prevention).

13. Newsletter (double opt-in)

Newsletter registration is voluntary and only takes place via double opt-in. We process your e-mail address, language, sign-up source, sign-up/confirmation/unsubscribe timestamps and a cryptographic token hash used for confirmation. The raw token is not stored persistently. You can unsubscribe at any time without a login through the link in every newsletter e-mail. Proof of consent is documented in accordance with Art. 7(1) GDPR.

Legal basis: Art. 6(1)(a) GDPR.

14. Authentication, transactional and system e-mails

We use several services for outgoing e-mail:

• Lovable Managed Email for authentication e-mails (including signup confirmation, recovery, e-mail change, re-authentication, invitations).
• Brevo (Sendinblue SAS) for transactional and system e-mails, for delivering contact-form messages to our inbox and for newsletter confirmation/unsubscribe e-mails.
• IONOS SE for domain/DNS and for receipt and processing of e-mails sent to info@adler-pfau.com.

These service providers process, in particular, the recipient address, subject, message content, delivery status and — where actually used by us — provider-side message IDs and bounce/complaint information.

UTM-based tracking of links contained in our e-mails is disabled. It cannot be technically ruled out that Brevo may nevertheless process additional delivery and interaction metadata (such as message opens or link clicks) for delivery diagnostics and reach measurement. The currently active configuration is reviewed on an ongoing basis and changes are reflected in this notice. No marketing profiles are created.

Legal bases: Art. 6(1)(b) GDPR (contractual communication), Art. 6(1)(f) GDPR (operational security, record keeping), Art. 6(1)(a) GDPR (newsletter).

15. Recipients of data

We use carefully selected service providers to operate the platform, in particular:

• Lovable Cloud as the platform operating layer.
• Managed Supabase for authentication, database and storage.
• Lovable Managed Email for authentication e-mails and Brevo for system, contact and newsletter e-mails.
• IONOS SE for domain/DNS and inbound e-mail at info@adler-pfau.com.
• Cloudflare as an edge and security layer (including delivery of static assets).
• Selected service providers on the platform as potential separate controllers once a candidate release has taken effect.

Where these providers act as processors within the meaning of Art. 28 GDPR, data processing agreements are concluded as required by law. A current, named list is available on request at info@adler-pfau.com.

We do not sell personal data and do not disclose it for advertising purposes.

16. International data transfers

We aim to process personal data primarily within the European Union / European Economic Area. We cannot currently guarantee exclusive processing in the EU/EEA for all service providers we use.

Where processing outside the EU/EEA takes place, this is only done on the basis of a transfer mechanism permitted under Chapter V GDPR (e.g. adequacy decision, standard contractual clauses, supplementary safeguards). The contractual basis and transfer safeguards for our providers are reviewed on an ongoing basis.

17. Retention

We retain personal data only for as long as is necessary for the purposes described or as required by statutory retention obligations. In general:

• Account data: in principle, while the account is active.
• Communication and case data (messages, requests, booking status): once no longer required, unless retention obligations apply.
• Consent and legal-text records: as long as necessary to prove consent or defend legal claims.
• Commercial and tax-relevant data: only to the extent and for the period required by law (in particular the German Commercial Code and Tax Code).
• Technical security data (e.g. rate-limit identifiers, security records): only for as long as necessary for security and abuse prevention.

Once the purpose has ceased or the applicable retention period has expired, data is deleted or — where deletion is prevented by legal obligations or overriding legitimate interests — its further processing is restricted (blocked). Unconfirmed registrations and expired confirmation codes are invalidated once their validity period ends.

18. External fonts

To ensure a consistent visual appearance, we use webfonts. Where these are served by an external provider (e.g. Google Fonts), your IP address may be transmitted to their content delivery network. We continuously evaluate self-hosting.

Legal basis: Art. 6(1)(f) GDPR (consistent, performant rendering).

19. Cookies and browser storage

We use only technically necessary cookies and browser-storage entries, in particular for authentication/session, language selection, storing your cookie decision and the UI state of certain sections.

Optional categories (preferences, analytics, marketing) are only activated after your prior explicit consent. Under the current configuration no analytics or marketing service is loaded on the website. You may adjust or withdraw your decision at any time via the cookie settings in the footer.

Legal bases: Section 25(2) No. 2 TDDDG in conjunction with Art. 6(1)(f) GDPR (strictly necessary); Section 25(1) TDDDG in conjunction with Art. 6(1)(a) GDPR (optional).

20. Search-engine verification

DNS-based identifiers can be placed with our DNS provider to verify domain ownership with search engines. No analytics or tracking script is loaded on the website for this purpose.

21. Automated decisions

At the current functional stage Wings49 Hub does not make solely automated decisions within the meaning of Art. 22 GDPR that produce legal effects concerning data subjects or similarly significantly affect them.

22. Data security

We apply technical and organisational measures, including TLS transport encryption, row-level access controls (RLS) on business database tables, private storage areas, HMAC-based pseudonymisation of security-relevant identifiers as well as rate limits and audit events. Measures are continuously adapted to the state of the art.

23. Changes to this privacy notice

This notice is updated when relevant changes occur. The current version is available on the platform.