Hosting aus deutschen Rechenzentren – persönlich betreut

KDG-Server.de
Warenkorb

Datenschutzerklärung

Welche Daten wir verarbeiten, wofür und wie lange – und welche Rechte Sie haben.

Wir verarbeiten personenbezogene Daten nur, soweit es für den Betrieb dieser Website und die Erbringung unserer Leistungen erforderlich ist. Diese Erklärung beschreibt nach Art. 13 DSGVO, welche Daten das sind, wozu wir sie verwenden, an wen sie gehen, wie lange wir sie speichern und welche Rechte Sie haben.

1. Verantwortlicher

Kim Daniel Geisthardt WebDevelopment
Dörffelstraße 12, 08527 Plauen
E-Mail: support@kdg-server.de
Telefon: 03741 4685939

Einen Datenschutzbeauftragten haben wir nicht benannt, weil dafür keine Pflicht besteht. Ihr Ansprechpartner für den Datenschutz ist der Inhaber unter den oben genannten Kontaktdaten.

2. Aufruf dieser Website

Beim Aufruf jeder Seite verarbeitet unser Webserver technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode, übertragene Datenmenge, zuvor besuchte Seite (Referrer) und Browserkennung. Das dient der Auslieferung der Seiten, der Sicherheit und der Fehlersuche. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Protokolle des Webservers löschen wir nach 14 Tagen. Das Fehlerprotokoll der Anwendung löschen wir nach 30 Tagen; Zugangsdaten werden darin vor dem Speichern entfernt.

Wir binden keine Inhalte Dritter ein: keine externen Schriften oder Skripte, keine Analyse-, Werbe- oder Social-Media-Dienste.

3. Cookies und lokale Speicherung

Notwendig ist nur ein Cookie, das Sitzungs-Cookie (__Host-kdg_session). Es enthält nur eine zufällige Kennung, schützt die Formulare vor Missbrauch (CSRF-Schutz), merkt sich den Warenkorb und hält Sie im Kundenbereich angemeldet. Es wird beim Schließen des Browsers gelöscht; eine Anmeldung endet außerdem nach zwei Stunden ohne Aktivität und spätestens nach zwölf Stunden. Das Cookie ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b und f DSGVO.

Zwei weitere Cookies entstehen nur auf Ihren ausdrücklichen Wunsch bzw. nur für unser Personal: Wählen Sie bei den Preisen die Anzeige ohne Umsatzsteuer (für Geschäftskunden), merken wir uns das in kdg_preise – es enthält nur „netto“, gilt ein Jahr und wird gelöscht, sobald Sie wieder die Anzeige mit Umsatzsteuer wählen. Während einer Wartung erhalten unsere Mitarbeiter mit einem geheimen Zugangswert das Cookie kdg_wartung, das bis zum Schließen des Browsers gilt; Besucher bekommen es nie. Beide sind für den jeweils gewünschten Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO).

Unser Sicherheitsdienstleister Cloudflare (Abschnitt 13) setzt zur Abwehr automatisierter Zugriffe ein eigenes Cookie (__cf_bm, Laufzeit 30 Minuten); bei einer Sicherheitsprüfung kommt cf_clearance hinzu. Beide dienen allein der Betriebssicherheit, nicht der Auswertung Ihres Verhaltens, und sind für den Betrieb dieser Website unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO).

Ihre Wahl zwischen heller und dunkler Darstellung speichern wir nur in Ihrem Browser (lokaler Speicher), sie wird nicht an uns übertragen (§ 25 Abs. 2 Nr. 2 TDDDG).

Legen Sie etwas in den Warenkorb, speichern wir ihn mit Ihrer IP-Adresse. Wird daraus keine Bestellung, löschen wir ihn nach 90 Tagen.

4. Kontakt, Kündigung, Widerruf und Meldungen

Ihre Angaben aus dem Kontaktformular (Name, E-Mail-Adresse, freiwillig Telefon, Firma, Betreff und Nachricht) sowie IP-Adresse und Browserkennung verwenden wir, um die Anfrage zu bearbeiten und Missbrauch zu begrenzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Die Angaben mit * brauchen wir, um antworten zu können; ohne sie lässt sich die Anfrage nicht absenden.

Kündigungen (§ 312k BGB) und Widerrufe (§ 356a BGB) über die Website speichern wir mit Zeitpunkt des Eingangs, weil wir den Eingang bestätigen und die Erklärung nachweisen müssen (Art. 6 Abs. 1 lit. b und c DSGVO).

Meldungen rechtswidriger Inhalte über unser Meldeformular (Art. 16 DSA) speichern wir mit Fundstelle, Begründung, Zeitpunkt, IP-Adresse und Browserkennung, dazu Name und E-Mail-Adresse, wenn Sie sie angeben – sie sind freiwillig. Wir brauchen die Angaben, um die Meldung zu prüfen, den Eingang zu bestätigen und Ihnen die Entscheidung mitzuteilen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 DSA). Betrifft die Meldung die Webseite eines Kunden, erfährt er, was gemeldet wurde; Ihren Namen und Ihre E-Mail-Adresse nennen wir ihm nur mit Ihrem Einverständnis oder wenn wir dazu verpflichtet sind. Begründet eine Meldung den Verdacht einer Straftat gegen Leben oder Sicherheit, geben wir sie an das Bundeskriminalamt weiter (Art. 18 DSA, § 13 DDG); dasselbe gilt für terroristische Inhalte mit unmittelbarer Lebensgefahr (Art. 14 Abs. 5 der Verordnung (EU) 2021/784, TCO-VO).

Erhalten wir von einer Behörde eine Anordnung, einen terroristischen Inhalt zu entfernen oder zu sperren (Art. 3 TCO-VO), verarbeiten wir die Angaben der Anordnung, um sie auszuführen, den betroffenen Kunden zu informieren und die Umsetzung gegenüber der Behörde nachzuweisen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der TCO-VO).

Anfragen und Meldungen löschen wir drei Jahre nach ihrer Erledigung. Kündigungen und Widerrufe bewahren wir als Nachweis bis drei Jahre nach dem Ende des betroffenen Vertrags auf (regelmäßige Verjährung, § 195 BGB); lässt sich eine Erklärung keinem Vertrag zuordnen, löschen wir sie drei Jahre nach ihrer Erledigung.

5. Bestellung, Kundenkonto und Vertrag

Für Bestellung und Vertrag verarbeiten wir Bestandsdaten (Name, Anschrift, E-Mail-Adresse, Telefon, bei Geschäftskunden Firma und USt-IdNr.), Vertragsdaten (bestellte Leistungen, Laufzeiten, Domains, Server) und Abrechnungsdaten (Rechnungen, Zahlungen). Bei der Bestellung halten wir fest, wann Sie den AGB und dem sofortigen Leistungsbeginn zugestimmt haben, zusammen mit der IP-Adresse. Aus der Bestellung entsteht Ihr Kundenkonto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungen und Buchungsbelegen Art. 6 Abs. 1 lit. c DSGVO. Ohne diese Angaben können wir keinen Vertrag schließen.

Geben Sie als Geschäftskunde eine USt-IdNr. an, prüfen wir sie über das Mehrwertsteuer-Informationsaustauschsystem (MIAS/VIES) der Europäischen Kommission. Übermittelt wird nur die Nummer (Art. 6 Abs. 1 lit. c DSGVO).

Erstellen wir Ihnen ein individuelles Angebot, speichern wir es mit Positionen, Preisen und Gültigkeit und schicken Ihnen einen Verweis per E-Mail; nehmen Sie es an, halten wir Zeitpunkt und IP-Adresse fest wie bei einer Bestellung (Art. 6 Abs. 1 lit. b DSGVO). Schließen Sie im Kundenbereich den Vertrag über die Auftragsverarbeitung ab (Abschnitt 8), speichern wir, wer ihn wann in welcher Fassung abgeschlossen hat, den Ansprechpartner, den Sie dabei nennen, IP-Adresse, Browserkennung und das PDF des Vertrags (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 28 Abs. 9 DSGVO).

Zweite Adresse für Rechnungen. Hinterlegen Sie unter „Stammdaten“ eine weitere E-Mail-Adresse für Rechnungen – etwa die Ihrer Buchhaltung oder Steuerberatung –, schicken wir Rechnungen, Zahlungserinnerungen und Mahnungen zusätzlich dorthin. Wir speichern die Adresse, bis Sie sie entfernen (Art. 6 Abs. 1 lit. b und f DSGVO). Wem die Adresse gehört, muss davon wissen; dafür sind Sie verantwortlich.

Weitere Zugänge. Geben Sie im Kundenbereich einer weiteren Person Zugang zu Ihrem Kundenkonto, speichern wir deren Namen, ihre E-Mail-Adresse als Anmeldeadresse und den Bereich, den Sie ihr freigeben. Die Person erhält von uns eine E-Mail mit einem Verweis, über den sie ihr Passwort festlegt; für ihre Anmeldungen gilt Abschnitt 6. Entfernen Sie den Zugang oder endet Ihr Kundenkonto, machen wir das Konto der Person unkenntlich; was sie an Ihren Paketen geändert hat, bleibt im Verlauf des Vertrags stehen (Art. 6 Abs. 1 lit. b und f DSGVO, berechtigtes Interesse daran, dass ein Kundenkonto ohne geteiltes Passwort von mehreren genutzt werden kann).

Kalender-Abo. Schalten Sie im Kundenbereich das Kalender-Abo ein, erzeugen wir eine Adresse mit einem geheimen Zeichen, unter der Ihr Kalenderprogramm Abrechnungstermine, Fälligkeiten offener Rechnungen, Vertragsenden und angekündigte Wartungen abruft – ohne Anmeldung, denn ein Kalenderprogramm kann sich nicht anmelden. Wir speichern von der Adresse nur einen Hashwert und den Zeitpunkt des letzten Abrufs. Wer die Adresse kennt, sieht diese Termine; schalten Sie das Abo ab oder erzeugen Sie eine neue Adresse, gilt die alte sofort nicht mehr (Art. 6 Abs. 1 lit. b DSGVO).

Domain an einen anderen Kunden übergeben. Bereiten Sie die Übergabe einer Domain vor, erzeugen wir einen Übergabe-Code, von dem wir nur einen Hashwert speichern, und benachrichtigen Sie per E-Mail. Löst der Empfänger den Code ein, tragen wir ihn beim Registrar als Inhaber ein (Abschnitt 13) und halten fest, wer die Domain wann an wen übergeben hat – bei beiden Kundenkonten, für die Dauer der Aufbewahrung der Vertragsunterlagen (Art. 6 Abs. 1 lit. b und c DSGVO). Dem Empfänger nennen wir von Ihnen nichts außer dem Namen der Domain und den Vertragsbedingungen.

Die Übersicht Ihrer gespeicherten Daten können Sie im Kundenbereich jederzeit selbst als Datei abrufen.

6. Anmeldung und Sicherheit

Zum Schutz Ihres Zugangs speichern wir bei jeder Anmeldung und jedem fehlgeschlagenen Anmeldeversuch Zeitpunkt, IP-Adresse sowie Browser und Betriebssystem (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Sicherheit des Kontos). Sie sehen diese Einträge unter „Sicherheit“ im Kundenbereich, können dort Sitzungen auf anderen Geräten beenden und erhalten eine E-Mail bei einer Anmeldung von einem unbekannten Gerät. Die Anmeldehistorie löschen wir nach 90 Tagen, Fehlversuche für die Anmeldesperre nach 30 Tagen, beendete Sitzungen nach einem Tag.

Richten Sie einen zweiten Anmeldefaktor ein, speichern wir das gemeinsame Geheimnis für die Codes Ihrer Authenticator-App verschlüsselt. Melden Sie sich mit einem Passkey an, speichern wir nur dessen öffentlichen Schlüssel, seine Kennung, den Namen, den Sie ihm geben, und wann er angelegt und zuletzt benutzt wurde; der private Schlüssel verlässt Ihr Gerät nicht, und Fingerabdruck oder Gesichtsbild erreichen uns nie. Beides entfernen Sie unter „Sicherheit“ selbst; spätestens gehen die Einträge mit Ihrem Konto (Art. 6 Abs. 1 lit. b und f DSGVO). Die Ersatzcodes für den zweiten Faktor speichern wir nur als Hashwert, zusammen mit dem Zeitpunkt, zu dem einer benutzt wurde; ein neuer Satz oder das Abschalten des zweiten Faktors löscht sie.

Telefon-PIN. Bevor wir am Telefon über Ihr Kundenkonto sprechen, bitten wir Sie um eine sechsstellige Zahl, die Sie im Kundenbereich unter „Support“ erzeugen. Sie gilt 15 Minuten und nur einmal; gespeichert wird ihr Hashwert mit Ihrem Konto und dem Zeitpunkt, und nach einem Tag löschen wir den Eintrag. Dass eine PIN geprüft wurde, steht im Änderungsprotokoll der Verwaltung (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse daran, am Telefon nur mit Berechtigten über ein Konto zu sprechen).

7. Verwaltung Ihrer Pakete

Im Kundenbereich verwalten Sie Ihre Pakete selbst – Postfächer, DNS-Einträge, Domains, Datenbanken, FTP-Zugänge, Cronjobs und Einstellungen. Diese Angaben speichern wir in der Serververwaltung (ISPConfig) auf unseren eigenen Servern, weil die Leistung ohne sie nicht funktioniert (Art. 6 Abs. 1 lit. b DSGVO). Kennwörter, die dabei entstehen, zeigen wir Ihnen einmal an; gespeichert oder protokolliert werden sie bei uns nicht. Einen Namen, den Sie einem Cronjob geben, speichern wir bei uns, bis Sie den Cronjob löschen.

Dateimanager. Öffnen Sie Dateien im Kundenbereich, überträgt unsere Anwendung sie verschlüsselt zwischen Ihrem Browser und Ihrem Webspace; bei uns liegen sie dabei nur für die Dauer der Übertragung. Damit Sie und wir später nachvollziehen können, was geändert wurde, halten wir im Verlauf Ihres Vertrags fest, wann welche Datei oder welcher Ordner angelegt, hochgeladen, umbenannt oder gelöscht wurde – Namen und Pfade, keine Inhalte (Art. 6 Abs. 1 lit. b und f DSGVO).

Fehlerprotokoll. Sehen Sie im Kundenbereich das Fehlerprotokoll Ihrer Webseite an, liest unsere Anwendung die letzten Zeilen der Protokolldatei von Ihrem Webspace und zeigt sie Ihnen. Darin stehen mitunter IP-Adressen Ihrer Besucher; wir speichern davon nichts.

Eigenes Zertifikat. Spielen Sie ein eigenes Zertifikat ein, prüfen wir Zertifikat und privaten Schlüssel und geben beides an die Serververwaltung weiter, die es für Ihre Webseite einrichtet. Bei uns wird der private Schlüssel weder gespeichert noch protokolliert (Art. 6 Abs. 1 lit. b DSGVO).

Einrichtung von Mailprogrammen. Richten Sie ein Postfach in Outlook oder einem anderen Programm ein, fragt es bei uns nach den Servereinstellungen und nennt dabei Ihre E-Mail-Adresse. Wir verwenden sie nur, um die passende Antwort zu geben, und speichern sie nicht. Dasselbe gilt für das Einrichtungsprofil für iPhone, iPad und Mac: es enthält Ihre E-Mail-Adresse und die Servereinstellungen, kein Kennwort, und der Verweis darauf gilt wenige Minuten.

Erreichbarkeit und Auslastung. Ob Ihre Webseiten und Server erreichbar sind, prüft unsere eigene Überwachung von außen in regelmäßigen Abständen; dazu kennt sie deren Adressen. Die Auslastung eines Managed Servers (Prozessor, Arbeitsspeicher, Speicherplatz, laufende Dienste, Zustand der Festplatten und anstehende Updates) lesen wir aus der Serververwaltung aus, um sie Ihnen anzuzeigen und den Server gesund zu halten. Beides dient dem Betrieb und der Benachrichtigung bei Störungen (Art. 6 Abs. 1 lit. b und f DSGVO). Gespeichert werden Messwerte, keine Inhalte Ihrer Seiten. Ist ein Vertrag länger als 10 Minuten nicht erreichbar, schreiben wir Ihnen eine E-Mail und eine weitere, sobald er wieder antwortet – allerdings nur, wenn Sie das für den Vertrag auf seiner Seite im Kundenbereich eingeschaltet haben; ohne Ihre Wahl bleibt es aus. Festgehalten wird dazu, wann eine Störung begann, endete und wann wir Sie benachrichtigt haben.

Protokolle zur Fehlersuche. Um die Ursache einer Störung zu finden, kann die Administration die letzten Zeilen technischer Protokolle Ihres Servers einsehen – etwa des Mail-, Let’s-Encrypt- oder Systemprotokolls. Diese können IP-Adressen sowie Absender- und Empfängeradressen enthalten. Wir lesen sie nur im Bedarfsfall, unmittelbar aus der Serververwaltung, und speichern sie dabei nicht. Das dient dem Betrieb und der Fehlersuche (Art. 6 Abs. 1 lit. b und f DSGVO).

SSH-Zugang. Richten Sie auf einem Managed Server oder Managed vServer einen SSH-Zugang ein, speichern wir in der Serververwaltung dessen Namen und die öffentlichen Schlüssel, die Sie hinterlegen – samt dem Kommentar, der in einem Schlüssel steht, meist Benutzername und Rechnername. Ihr privater Schlüssel erreicht uns nie. Der Eintrag geht, wenn Sie den Zugang löschen (Art. 6 Abs. 1 lit. b DSGVO).

Anwendungen einrichten. Lassen Sie im Kundenbereich WordPress, Nextcloud oder Matomo einrichten, holt Ihr Server die Anwendung direkt beim jeweiligen Hersteller ab. Übermittelt wird dabei nichts über Sie – der Hersteller sieht nur die Adresse des Servers. Wir halten fest, welche Anwendung wann in welchen Ordner gelegt wurde. Was die Anwendung danach selbst verarbeitet, liegt in Ihrer Verantwortung (Abschnitt 8).

Seitencheck. Rufen Sie den Seitencheck auf, fragen wir das öffentliche DNS nach den Einträgen Ihrer Domains (Adresse, SPF, DMARC) und unseren eigenen Webserver nach dem Zertifikat, das er für Ihre Domain ausliefert. Übermittelt werden dabei nur die Domainnamen; gespeichert wird das Ergebnis nicht.

Installierte Anwendungen erkennen. Einmal am Tag sieht Ihr Server nach, ob in Ihren Webseiten WordPress, Nextcloud, Matomo, Joomla oder Drupal liegt, und liest dafür je Anwendung die eine Datei, in der ihre Fassung steht – keine Inhalte, keine Datenbank. Wir speichern Anwendung, Ordner und Fassung, um Sie auf veraltete Fassungen hinzuweisen; die jeweils neueste Fassung fragen wir bei den Herstellern ab, ohne dabei etwas über Sie oder Ihre Webseite zu übermitteln (Art. 6 Abs. 1 lit. b und f DSGVO, berechtigtes Interesse an der Sicherheit der bei uns betriebenen Webseiten).

Testkopie. Legen Sie eine Testkopie Ihrer WordPress-Seite an, kopiert Ihr Server Dateien und Tabellen innerhalb Ihres eigenen Webspace. Er meldet sich dafür mit den Zugangsdaten bei der Datenbank an, die in der Konfiguration Ihrer Anwendung stehen; zu uns gelangen sie nicht. Wir halten fest, wann welche Kopie angelegt und entfernt wurde. Die Kopie enthält dieselben Daten wie das Original – auch die Ihrer Besucher und Kunden; für sie gilt Abschnitt 8.

Umzug zu uns. Holen wir auf Ihren Auftrag die Dateien einer Webseite, die Sicherung einer Datenbank oder die Post eines Postfachs von Ihrem bisherigen Anbieter, verbindet sich unsere Anwendung verschlüsselt mit dessen Server und überträgt die Daten in Ihr Paket bei uns; bei uns liegen sie dabei nur für die Dauer der Übertragung. Die Zugangsdaten, die Sie dafür angeben, speichern wir verschlüsselt und nur, solange der Umzug läuft: sobald er endet – erfolgreich, gescheitert oder von Ihnen angehalten –, löschen wir sie. Wartet ein Umzug nach einer vorübergehenden Störung auf einen neuen Versuch, behalten wir sie dafür; tut sich 48 Stunden lang nichts, löschen wir sie trotzdem. Festgehalten bleiben Server und Benutzername beim alten Anbieter, das Ziel und wie viel übertragen wurde (Art. 6 Abs. 1 lit. b DSGVO). Der bisherige Anbieter sieht dabei die Adresse unseres Servers. Eine Datenbanksicherung legen wir in Ihren Webspace (außerhalb des öffentlich erreichbaren Ordners), Ihr Server spielt sie in eine neue Datenbank ein, und danach entfernen wir die Datei; in die Sicherung selbst sehen wir nicht hinein. Das Kennwort der neuen Datenbank liegt dafür so lange neben der Sicherung, wie das Einspielen dauert. Eingespielt wird von einem Cronjob Ihrer Webseite, den wir dafür vorübergehend einrichten; den Stand lesen wir über einen eigens für diesen Umzug angelegten FTP-Zugang, dessen Kennwort wir bis dahin verschlüsselt speichern. Cronjob, FTP-Zugang und Kennwort entfernen wir, sobald das Einspielen beendet ist.

Nachweis bei fremden Domains. Verknüpfen Sie eine Domain, die nicht bei uns registriert ist, fragen wir das öffentliche DNS nach dem Nachweiseintrag, den Sie dort gesetzt haben. Übermittelt wird dabei nur der Domainname.

8. Inhalte Ihrer Pakete

Was Sie selbst in Ihren Paketen speichern – Webseiten, Datenbanken, Postfächer und die Daten Ihrer Besucher und Kunden darin –, verarbeiten wir nicht für eigene Zwecke, sondern in Ihrem Auftrag. Verantwortlicher für diese Daten sind Sie; wir sind Auftragsverarbeiter (Art. 28 DSGVO). Dafür gilt nicht diese Datenschutzerklärung, sondern der Vertrag über die Auftragsverarbeitung, den Sie im Kundenbereich abschließen. Wie lange die Inhalte nach Vertragsende noch liegen bleiben, steht in den AGB.

9. Supportanfragen und E-Mails an den Support

Supportanfragen im Kundenbereich speichern wir samt Anhängen und Verlauf, um sie zu bearbeiten und später nachvollziehen zu können (Art. 6 Abs. 1 lit. b DSGVO). Wir löschen sie drei Jahre nach dem Abschluss der Anfrage.

Unser Supportpostfach rufen wir regelmäßig automatisch ab, damit eine Antwort per E-Mail im Verlauf der Anfrage landet. Dabei verarbeiten wir Absenderadresse, Betreff, Text und Anhänge der Mail. In den Verlauf einer Anfrage übernehmen wir eine Mail nur, wenn die Anfragenummer im Betreff steht und der Absender die beim Kunden hinterlegte Adresse ist; jede andere Mail legen wir einem Mitarbeiter als Eingang zur Prüfung vor, weil eine Absenderadresse leicht gefälscht ist. Das betrifft auch Mails von Menschen, die nicht unsere Kunden sind: wer uns schreibt, wird hier verarbeitet, auch ohne Vertrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst unser berechtigtes Interesse daran, eine an uns gerichtete Nachricht beantworten zu können (Art. 6 Abs. 1 lit. f DSGVO).

Zu jeder abgerufenen Mail halten wir eine Zeile mit Absender, Betreff, Zeitpunkt und Zuordnung fest; sie verhindert, dass wir dieselbe Nachricht zweimal verarbeiten, und wird nach 90 Tagen gelöscht. Automatische Antworten (Abwesenheitsnotizen, Verteiler) und als Spam erkannte Mails verarbeiten wir nicht weiter. Wird aus der Mail eine Anfrage oder ein Eingang, gelten die Fristen aus diesem Abschnitt bzw. aus Abschnitt 4. Die Nachricht selbst bleibt 90 Tage in unserem Postfach und wird danach gelöscht; nur eine Mail, deren Verarbeitung gescheitert ist, bleibt markiert liegen, bis ein Mitarbeiter sie bearbeitet hat.

10. E-Mails an Sie und Zustellberichte

Bestätigungen, Rechnungen, Mahnungen und Hinweise zu Ihren Verträgen schicken wir an die E-Mail-Adresse, die Sie hinterlegt haben (Art. 6 Abs. 1 lit. b und c DSGVO). Kommt eine Mail endgültig nicht an, wertet unser Postfach den Zustellbericht des Empfängerservers aus: wir speichern die betroffene Adresse, den Statuscode, die Meldung des Servers in Kurzform, die Anzahl der Rückläufer sowie den Zeitpunkt des ersten und des letzten, und markieren die Adresse als unzustellbar. Das dient allein dem Zweck, dass wichtige Nachrichten Sie erreichen: die Verwaltung sieht die Markierung an Ihrer Kundenakte, und im Kundenbereich steht ein Hinweis mit dem Weg, die Adresse zu ändern (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer funktionierenden Vertragskommunikation).

Mails an eine markierte Adresse gehen weiterhin hinaus – eine Rechnung oder Mahnung muss versucht werden. Aufgehoben wird die Markierung in der Verwaltung; tragen Sie eine andere Adresse ein, hat diese von selbst keine. Wir löschen die Einträge ein Jahr nach dem letzten Rückläufer.

Zu jeder Mail, die wir Ihnen schicken, halten wir einen Nachweis fest: Empfänger, Betreff, Zeitpunkt und ob sie zugestellt wurde – keinen Wortlaut und keine Anhänge. So können wir belegen, dass etwa eine Kündigungs- oder Widerrufsbestätigung hinausgegangen ist (Art. 6 Abs. 1 lit. c und f DSGVO). Die Nachweise löschen wir nach drei Jahren; den Nachweis über die Bestätigung einer Kündigung oder eines Widerrufs bewahren wir so lange auf wie die Erklärung selbst, also bis drei Jahre nach Vertragsende. Der Wortlaut einer Mail, die nicht zugestellt werden konnte, bleibt 30 Tage, damit wir sie erneut schicken können.

Wartungsankündigungen. Kündigen wir eine Wartung an, die Ihren Vertrag betrifft, halten wir fest, an welche Adresse die Ankündigung ging, wann sie verschickt und wann sie gegebenenfalls zurückgenommen wurde. So erreicht eine Rücknahme genau die, die die Ankündigung bekommen haben, und wir können den zugesagten Vorlauf belegen (Art. 6 Abs. 1 lit. b und f DSGVO). Diese Einträge löschen wir nach drei Jahren.

Monatsbericht. Zu Beginn jedes Monats schicken wir Ihnen eine Übersicht zu Ihren Verträgen: was läuft, wie voll der Speicher ist, welche Rechnungen gestellt wurden und offen sind, was als Nächstes berechnet wird und für welche Anwendung es ein Update gibt. Der Bericht enthält keine Werbung. Wir halten fest, für welchen Monat er verschickt wurde (Art. 6 Abs. 1 lit. b und f DSGVO, berechtigtes Interesse daran, dass Sie über den Stand Ihres Vertrags Bescheid wissen). Sie bestellen ihn über den Verweis in jeder dieser Mails oder im Kundenbereich unter „Stammdaten“ ab; Rechnungen und Nachrichten zu Ihrem Vertrag erhalten Sie weiterhin.

11. Empfehlungsprogramm und Guthaben

Als Kunde können Sie andere werben. Öffnen Sie dazu im Kundenbereich die Seite „Empfehlen“, erzeugen wir einmalig einen zufälligen Werbecode zu Ihrem Konto; er wird nicht aus Ihrer Kundennummer abgeleitet und verrät sie deshalb nicht. Den Verweis verschicken Sie selbst – wir schreiben niemanden an, den Sie uns nennen, und es gibt dafür kein Eingabefeld. Folgen Sie einem solchen Verweis, merken wir den Code für die Dauer Ihrer Sitzung (Abschnitt 3), damit der Nachlass beim Bestellen noch bekannt ist.

Kommt über einen Verweis eine Bestellung zustande, halten wir dauerhaft fest, wer wen geworben hat: beide Kundenkonten, die Bestellung, Nachlass und Prämie in Cent, den Zustand und die Zeitpunkte. Ohne diese Zuordnung ließen sich Nachlass und Prämie nicht zuordnen (Art. 6 Abs. 1 lit. b DSGVO). Wir vergleichen dabei die Anschriften beider Seiten; sind sie gleich, sieht ein Mitarbeiter den Fall an, bevor eine Prämie fällig wird, und wir halten den Grund dafür fest. Automatisch abgelehnt wird dabei nichts – Familien und Wohngemeinschaften sind echte Kunden (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse daran, Missbrauch zu erkennen).

Die Prämie ist ein Guthaben an Ihrem Kundenkonto, keine Auszahlung: gespeichert werden Betrag, Anlass und wie viel davon auf welcher Rechnung verbraucht wurde. Weil das Guthaben eine Rechnung mindert, gehört es zu den Buchungsbelegen und unterliegt den Aufbewahrungsfristen aus Abschnitt 14. Eine vorgemerkte Empfehlung, aus der binnen 90 Tagen keine bezahlte Bestellung wird, endet ohne Prämie. Wen Sie geworben haben, teilen wir Ihnen nicht mit – das wäre eine Auskunft über eine andere Person; dass es eine Empfehlung gab und was aus ihr wurde, steht in Ihrer Datenauskunft.

Wird Ihr Kundenkonto nach Ablauf der Fristen anonymisiert, löschen wir Ihren Werbecode und lösen die Zuordnung beider Seiten; die Beträge bleiben als Zahlen ohne Personenbezug stehen.

12. Notizen in der Kundenakte

Zu Ihrem Kundenkonto schreiben unsere Mitarbeiter interne Vermerke – etwa was in einem Telefonat vereinbart wurde oder warum eine Rechnung storniert und eine Mahnung ausgesetzt wurde. Gespeichert werden der Text, der Zeitpunkt und die E-Mail-Adresse des Verfassers. Das dient der Betreuung Ihres Vertrags und der Nachvollziehbarkeit unserer eigenen Entscheidungen (Art. 6 Abs. 1 lit. b und f DSGVO).

Ein Vermerk wird nur angelegt und gelesen, nie überschrieben: eine Akte, in der sich nachträglich etwas umschreiben lässt, taugt in dem Moment nichts, in dem man sie braucht. Ist eine Angabe darin unrichtig, berichtigen wir sie durch einen zusätzlichen Eintrag (Art. 16 DSGVO). Auf Anfrage teilen wir Ihnen auch diese Vermerke mit (Art. 15 DSGVO); in der Datei, die Sie im Kundenbereich selbst abrufen, sind sie nicht enthalten. Gelöscht werden sie, wenn Ihr Kundenkonto nach Ablauf der Fristen anonymisiert wird (Abschnitt 14).

13. Empfänger und Dienstleister

Wir geben Daten nur weiter, soweit es für die Leistung nötig ist. Dienstleister, die in unserem Auftrag arbeiten, sind durch Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) gebunden.

Unsere Dienstleister verarbeiten die Daten grundsätzlich in der EU. Zwei Verarbeitungen reichen darüber hinaus. Erstens der Sicherheits- und Auslieferungsdienst dieser Website: unser Vertragspartner sitzt in Deutschland, gehört aber zu einem US-amerikanischen Unternehmen, weshalb eine Übermittlung in die USA nicht ausgeschlossen ist; sie stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO) und ist zusätzlich durch Standardvertragsklauseln abgesichert (Art. 46 Abs. 2 lit. c DSGVO; Einzelheiten unten in der Liste). Zweitens Domains, deren Vergabestelle außerhalb der EU sitzt (etwa .com und .net in den USA): für ihre Registrierung müssen die Inhaberdaten dorthin übermittelt werden (Art. 49 Abs. 1 lit. b DSGVO).

  • Rechenzentrum: Hetzner Online GmbH, Gunzenhausen, mit Rechenzentren in Deutschland. Dort laufen diese Website, die Server der Webspace-Pakete, die Managed Server und die Managed vServer. Jeder vServer trägt Dienst- und Kundennummer als Kennzeichnung; was Sie auf Ihrem Webspace oder Server speichern, liegt dort. Für die Ausfallsicherheit steht einer unserer Nameserver in Finnland, innerhalb der EU. Er hält nur die DNS-Einträge Ihrer Domains, keine Inhalte Ihrer Webseiten und keine E-Mails.
  • Sicherheit und Auslieferung der Website: Cloudflare Germany GmbH, München, mit der Cloudflare, Inc., USA. Jeder Aufruf dieser Website läuft über deren Netz; dabei werden Ihre IP-Adresse, die aufgerufene Adresse, Datum und Uhrzeit sowie Browserangaben verarbeitet, um Angriffe und Überlastung abzuwehren und die Seiten schneller auszuliefern (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren Betrieb). Eine Übermittlung in die USA ist dabei nicht ausgeschlossen. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), zusätzlich gelten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Inhalte, die Sie uns senden – Bestellungen, Supportanfragen, Formulare – verarbeitet Cloudflare nur auf dem Weg zu uns und speichert sie nicht als Inhalt.
  • Domains: InterNetX GmbH, Regensburg, als Registrar sowie die jeweilige Vergabestelle der Endung (etwa DENIC eG für .de). Weil Sie Inhaber Ihrer Domain werden, übermitteln wir Ihren Namen, bei Geschäftskunden die Firma, Anschrift, E-Mail-Adresse und Telefonnummer als Inhaberkontakt, dazu den Domainnamen (Art. 6 Abs. 1 lit. b DSGVO). Für Telefonnummer und E-Mail-Adresse ist die Vergabestelle zusätzlich gesetzlich zur Erhebung verpflichtet (bei .de nach § 49 BSI-Gesetz; Art. 6 Abs. 1 lit. c DSGVO) und darf ihre Richtigkeit prüfen, etwa per E-Mail oder Brief. Die Angaben von Privatpersonen veröffentlicht die DENIC nicht, die von Firmen und anderen Organisationen macht sie in ihrer Domainabfrage öffentlich zugänglich. Ändern Sie Ihre Stammdaten, führen wir den Kontakt nach. Die Vergabestellen verarbeiten die Daten in eigener Verantwortung.
  • Zahlung mit PayPal: PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, in eigener Verantwortung. Wir übermitteln Bestell- oder Rechnungsnummer und Betrag – auch wenn Sie eine Rechnung im Kundenbereich mit PayPal bezahlen; Ihre Zahlungsdaten geben Sie direkt bei PayPal ein. Wir erhalten die Bestätigung der Zahlung.
  • Buchhaltung: Lexware Office der Haufe-Lexware GmbH & Co. KG, Freiburg. Übermittelt werden Name bzw. Firma, Ansprechpartner, Anschrift, E-Mail-Adresse, Telefonnummer, Umsatzsteuer-Identifikationsnummer, Kundennummer und jeder Beleg samt PDF (Art. 6 Abs. 1 lit. c DSGVO, Buchführungspflicht).
  • E-Mail-Versand: über unseren eigenen Mailserver, ohne Versanddienstleister.
  • Steuerberatung und Behörden: soweit gesetzlich vorgeschrieben.

14. Speicherdauer und Sicherungen

Wir löschen Daten, sobald ihr Zweck entfällt und keine Aufbewahrungspflicht besteht. Rechnungen und Buchungsbelege bewahren wir nach § 147 AO und § 257 HGB auf (Buchungsbelege acht, Bücher und Jahresabschlüsse zehn Jahre). Kundenstammdaten und Vertragsdaten sperren wir nach Vertragsende und anonymisieren sie nach Ablauf dieser Fristen.

Erledigte Aufträge der internen Warteschlange und das Protokoll unserer Anbindungen (es enthält Kundendaten aus Anfragen an die oben genannten Dienstleister) löschen wir nach 30 Tagen.

Die Spuren einzelner Vorgänge in Ihrem Paket löschen wir nach festen Fristen: die tägliche Durchsicht nach installierten Anwendungen nach 90 Tagen, Aufträge für Neustarts, Testkopien und die Benachrichtigungen über Störungen nach einem Jahr.

Unsere Datensicherungen sind verschlüsselt. Wir bewahren die Sicherungen der letzten 14 Tage und je eine Sicherung pro Monat für 12 Monate auf; gelöschte Daten verschwinden damit spätestens nach diesem Zeitraum auch aus den Sicherungen.

15. Ihre Rechte

  • Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung, soweit keine Aufbewahrungspflicht besteht (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)
  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), etwa der Behörde Ihres Wohnorts oder der für unseren Sitz zuständigen

Wenden Sie sich dazu an die oben genannte Adresse. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt.

16. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS). Passwörter speichern wir ausschließlich als Hashwert mit argon2id, Geheimnisse wie den zweiten Anmeldefaktor und Zugangsdaten zu Fremdsystemen verschlüsselt. Jede Änderung in der Verwaltung wird protokolliert.