Datenschutzerklärung

1. Verantwortlicher

Datenschutzanfragen richtest du an [email protected]. Eine Datenschutzbeauftragte bzw. einen Datenschutzbeauftragten müssen wir nicht benennen, weil bei uns weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG) und keine Verarbeitung nach Art. 37 Abs. 1 DSGVO vorliegt.

2. Der Überblick

Wir verarbeiten nur, was wir brauchen, um dir Hosting-Leistungen anzubieten, dein Konto zu führen, Rechnungen zu stellen und unseren Betrieb abzusichern. Werbung, Tracking-Dienste, Analyse-Tools und Profilbildung setzen wir nicht ein. Wir verkaufen keine Daten.

Ob du uns Daten geben musst: Für Registrierung, Bestellung und Rechnung brauchen wir die als Pflichtfeld gekennzeichneten Angaben – ohne sie können wir keinen Vertrag mit dir schließen. Alle weiteren Angaben (z. B. Telefonnummer, Discord-Verknüpfung) sind freiwillig.

Diese Kategorien personenbezogener Daten kommen bei uns vor:

• Bestandsdaten: Name, Anschrift und – falls angegeben – Firmenname und USt-IdNr.
• Kontaktdaten: E-Mail-Adresse, ggf. Telefonnummer, ggf. Discord-Name und Discord-ID
• Vertrags- und Zahlungsdaten: bestellte Produkte, Laufzeiten, Rechnungen, Guthaben-Buchungen, Zahlungsstatus (keine Karten- oder Kontodaten)
• Zugangsdaten: Passwort als Hash, verschlüsselte Geheimnisse (Zwei-Faktor-Schlüssel, Server-Passwörter, API-Schlüssel)
• Technische Daten deiner Produkte: Servername, Betriebssystem, IP-Adressen, DNS-Einträge, Firewall-Regeln, Auslastungs- und Bandbreitenwerte
• Nutzungs- und Protokolldaten: IP-Adresse, Zeitpunkte, abgerufene Seiten, Browsertyp, sicherheitsrelevante Aktionen im Konto
• Kommunikationsdaten: Inhalte deiner Support-Tickets, E-Mails und Discord-Tickets

3. Wenn du unsere Website besuchst

Server-Logdateien: Dein Browser übermittelt bei jedem Aufruf technisch notwendige Daten an unseren Server, die in Logdateien landen: IP-Adresse, Datum und Uhrzeit, abgerufene Adresse, übertragene Datenmenge, Statuscode sowie Browser- und Betriebssysteminformationen. Wir nutzen sie, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Logdaten löschen wir spätestens nach 30 Tagen; Daten zu einem konkreten Sicherheitsvorfall bewahren wir bis zu dessen Klärung auf.

Anmeldeversuche: Bei jedem fehlgeschlagenen Login speichern wir Zeitpunkt, IP-Adresse und einen nicht umkehrbaren Hash (SHA-256) der eingegebenen E-Mail-Adresse – nie das eingegebene Passwort. Damit sperren wir das massenhafte Durchprobieren von Passwörtern. Die Einträge löschen wir nach 24 Stunden, nach einer erfolgreichen Anmeldung sofort.

Missbrauchsschutz (Rate-Limiting): Für Registrierung, Zwei-Faktor-Abfrage, Bestellungen, Tickets und Formulare zählen wir kurzzeitig, wie oft eine Aktion ausgelöst wurde. Diese Zähler löschen wir nach 24 Stunden.

Aktivitätsprotokoll: Sicherheitsrelevante Aktionen im Kundenkonto (z. B. Anmeldung, Passwortänderung, Bestellung, Verlängerung, Änderung von DNS- oder Firewall-Einträgen) protokollieren wir mit Zeitpunkt und IP-Adresse. Du siehst diese Einträge unter „Aktivität“ im Kundenbereich. Die IP-Adresse entfernen wir nach 90 Tagen; der Eintrag selbst bleibt bis zur Löschung deines Kontos erhalten, damit Vorgänge nachvollziehbar sind.

Statusseite: Für die öffentliche Statusseite messen wir regelmäßig die Erreichbarkeit unserer Systeme. Dabei werden keine personenbezogenen Daten erhoben; die Messwerte löschen wir nach 90 Tagen.

Rechtsgrundlage für diesen Abschnitt ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Kundenkonto, Bestellung und Abrechnung

Für Registrierung und Bestellungen speichern wir Name, E-Mail-Adresse und ein gehashtes Passwort (bcrypt); für Rechnungen kommt die Anschrift hinzu. Wir verarbeiten Bestell-, Laufzeit- und Guthabendaten, um Verträge zu erfüllen, Rechnungen zu erstellen und dir dein Konto anzuzeigen (Art. 6 Abs. 1 lit. b DSGVO).

E-Mail-Bestätigung: Bei der Registrierung und bei einer Adressänderung senden wir einen 6-stelligen Code an deine E-Mail-Adresse. Den Code speichern wir nur als verschlüsselte Prüfsumme; er gilt 15 Minuten und ist nach fünf Fehlversuchen ungültig (Art. 6 Abs. 1 lit. b DSGVO).

Geheimnisse wie den Schlüssel der Zwei-Faktor-Anmeldung, Zugangsdaten zu deinen Servern (z. B. das Root-Passwort) und deinen API-Schlüssel speichern wir verschlüsselt (AES-256-GCM), damit du sie im Kundenbereich abrufen kannst. Der Support-PIN in deinem Konto dient nur dazu, dich bei Anfragen zu identifizieren.

Steuer- und handelsrechtliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB) verpflichten uns, Rechnungen und Buchungsbelege acht Jahre und Handelsbriefe sechs Jahre aufzubewahren; danach löschen wir sie. Rechnungen übertragen wir zur Buchhaltung an unser Buchhaltungsprogramm.

Zahlungen: Aufladungen laufen über den Zahlungsdienstleister Mollie B.V. (Niederlande). Deine Zahlungsdaten (z. B. Karten- oder Kontodaten) gibst du direkt bei Mollie ein; Mollie verarbeitet sie in eigener Verantwortung nach seinen Datenschutzhinweisen. Wir erhalten nur Betrag, Zahlungsstatus und eine Zahlungsnummer (Art. 6 Abs. 1 lit. b DSGVO).

Datenexport und Kontolöschung: Unter „Einstellungen → Datenschutz & Daten“ kannst du jederzeit eine Kopie deiner Daten als JSON-Datei herunterladen (Art. 15 und 20 DSGVO) und dein Konto selbst löschen, sobald keine aktiven Produkte mehr bestehen. Dabei löschen wir dein Konto, deine Tickets, Freigaben und Protokolle; Rechnungen bewahren wir nur so lange auf, wie es das Gesetz verlangt.

5. Bereitstellung deiner Produkte

• KVM- und Dedicated-Server: Die Server betreiben wir in den Rechenzentren unserer Infrastrukturpartner Bukkit-Hosting (bukkit-hosting.eu) und 0.jetzt (0.jetzt). Zum Anlegen und Betreiben übertragen wir die technischen Angaben deiner Bestellung (z. B. Servername, Betriebssystem, Ressourcen, Laufzeit) an den jeweiligen Partner. Deinen Namen oder deine E-Mail-Adresse geben wir dafür nicht weiter.
• Live-Werte und Bandbreite: Damit du Auslastung (CPU, Arbeitsspeicher, Laufzeit) und Datenverkehr deines Servers im Kundenbereich siehst, ruft unser System diese Messwerte beim Infrastrukturpartner ab. Aus der Bandbreite pro Minute erkennen wir außerdem ungewöhnliche Lastspitzen, die auf einen DDoS-Angriff hindeuten („DDoS-Logs“). Ausgewertet werden nur Datenmengen, nie Inhalte deines Datenverkehrs. Die Minutenwerte stellt der Partner für 24 Stunden bereit; wir speichern sie nur kurz zwischen. Erkannte Vorfälle speichern wir dauerhaft mit Beginn, Dauer, Spitzenwert und Art, höchstens 12 Monate. Die Bandbreitenzähler unserer Gameserver speichern wir für 30 Tage.
• Webspace: Für Webhosting nutzen wir die Infrastruktur unseres Partners Bukkit-Hosting mit dem Verwaltungspanel KeyHelp. Für die Einrichtung übertragen wir die dafür notwendigen technischen Angaben.
• Domains: Zur Registrierung einer Domain geben wir die Inhaberdaten (Name, Anschrift, E-Mail, ggf. Telefon) an unseren Registrierungspartner, den Registrar und die zuständige Vergabestelle (z. B. DENIC eG für .de) weiter. Die Vergabestellen verlangen diese Angaben; ohne sie ist keine Registrierung möglich. Ob und welche Daten öffentlich abrufbar sind (Whois/RDAP), richtet sich nach den Regeln der jeweiligen Vergabestelle.
• DNS-Einträge und Easy DNS: Die DNS-Einträge deiner Domains (z. B. die IP-Adresse, auf die eine Subdomain zeigt) speichern wir, um sie auf unseren Nameservern auszuliefern. DNS-Einträge sind technisch bedingt weltweit öffentlich abrufbar – trage dort keine vertraulichen Angaben ein.
• Firewall: Firewall-Regeln, die du im Kundenbereich anlegst (Ports, IP-Adressen, Kommentare), speichern wir, um sie dir anzuzeigen und anzuwenden.
• Minecraft-Gameserver: Wir legen für dich ein Konto im Pterodactyl-Panel und den Server an. Zugangsdaten zum Panel zeigen wir dir im Kundenbereich. Konsole, Dateien und Backups verwaltest du im Panel; wir sehen dort nur Zustand und Bandbreite, nicht deine Dateien oder Chats.
• E-Mails: Bestätigungscodes bei der Registrierung und Warnungen bei DDoS-Angriffen versenden wir über den Dienstleister Brevo (Sendinblue SAS, Frankreich). Dabei übermitteln wir deine E-Mail-Adresse und den Inhalt der Nachricht. Wir protokollieren, wann welche Warnung an welches Konto ging, ohne den Inhalt.
• Discord-Webhook (optional): Trägst du in den Einstellungen eine Webhook-URL deines Discord-Kanals ein, senden wir Meldungen über erkannte Angriffe dorthin. Die URL speichern wir verschlüsselt und zeigen sie danach nicht mehr an. Empfänger ist der Discord-Kanal, den du selbst ausgewählt hast.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); für die DDoS-Erkennung zusätzlich unser berechtigtes Interesse am Schutz unserer Infrastruktur (Art. 6 Abs. 1 lit. f DSGVO).

DDoS-Schutz im Netz: Der Datenverkehr zu deinen Servern wird im Netz unserer Partner automatisch auf Angriffsmuster geprüft. Dabei werden IP-Adressen und Verbindungsdaten kurzzeitig verarbeitet, um Angriffsverkehr herauszufiltern (Art. 6 Abs. 1 lit. b und f DSGVO).

Partnerprogramm: Registrierst du dich über einen Einladungslink oder Partnercode, speichern wir, wer dich eingeladen hat. Die einladende Person sieht deinen Vornamen, dein Anmeldedatum sowie Bestellnummer, Betrag und Provision der Käufe, für die sie Provision erhält – nicht, welche Produkte du nutzt oder deine Kontaktdaten. Beantragst du eine Auszahlung, speichern wir die angegebene PayPal-Adresse oder IBAN verschlüsselt sowie den Kontoinhaber, um die Zahlung auszuführen; nach Löschung deines Kontos entfernen wir die Bankverbindung, der Buchungsnachweis bleibt wegen der Aufbewahrungspflicht erhalten (Art. 6 Abs. 1 lit. b und c DSGVO).

Ende der Laufzeit: Läuft ein Produkt ab und wird nicht verlängert, beenden wir es automatisch. Zugangsdaten (z. B. Root-Passwort, IPMI-Zugang, Webspace-Passwort, AuthCode) löschen wir dabei sofort; den Server und die darauf gespeicherten Inhalte löscht der Infrastrukturpartner. Eine Wiederherstellung ist danach nicht möglich.

5a. Deine Inhalte auf unseren Servern (Auftragsverarbeitung)

Speicherst oder verarbeitest du auf deinem Server oder Webspace selbst personenbezogene Daten (z. B. Daten der Besucher deiner Website), bist du dafür Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten dann nur in deinem Auftrag und nach deinen Weisungen (Art. 28 DSGVO) und sehen sie nicht anlasslos ein. Einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) stellen wir dir auf Anfrage per Ticket oder an [email protected] zur Verfügung.

6. Support und Kommunikation

Wenn du uns ein Ticket schreibst oder eine E-Mail sendest, verarbeiten wir deine Angaben und den Inhalt deiner Nachricht, um dein Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Zur Identifikation kann der Support-PIN in deinem Kundenkonto abgefragt werden. Tickets speichern wir, solange dein Konto besteht, damit frühere Anfragen nachvollziehbar bleiben; mit der Löschung deines Kontos werden sie gelöscht, soweit keine Aufbewahrungspflicht besteht.

Support über unseren Discord-Server (freiwillig): Öffnest du dort ein Ticket, verarbeitet unser Discord-Bot deinen Discord-Benutzernamen, deine Discord-ID und die Nachrichten im Ticket-Kanal. Beim Schließen wird ein Verlauf des Tickets erstellt, im Team-Protokollkanal abgelegt und dir per Direktnachricht geschickt. Ist dein Discord-Konto mit deinem Kundenkonto verknüpft, zeigt der Bot dem Support-Team außerdem deine Produkte und deren Status an, damit wir dir schneller helfen können. Meldest du dich mit Discord an oder verknüpfst du Discord, erlaubst du auf der Discord-Bestätigungsseite außerdem, dass wir dich unserem Discord-Server hinzufügen („Servern für dich beitreten“); unser Bot führt den Beitritt einmalig aus, den dafür nötigen Zugangsschlüssel speichern wir nicht dauerhaft (spätestens nach einem Tag gelöscht). Mit einem aktiven Produkt vergibt der Bot außerdem automatisch die Rolle „Customer“. Den Server kannst du jederzeit wieder verlassen. Für die Verarbeitung durch Discord selbst gelten deren Datenschutzbestimmungen; eine Übermittlung in die USA ist möglich.

7. Empfehlungs-, Rabattcodes und Reseller

Wenn du einen Creator- bzw. Rabattcode einlöst, speichern wir, welcher Code bei deiner Bestellung verwendet wurde. Das dient der Abrechnung des Codes und der Rabattgewährung (Art. 6 Abs. 1 lit. b und f DSGVO).

Bewirbst du dich als Reseller, verarbeiten wir die Angaben aus dem Antrag (z. B. Firmenname, Rechtsform, Steuernummer, Anschrift, Ansprechpartner, Telefon) und den hochgeladenen Nachweis (PDF, JPG oder PNG, höchstens 5 MB). Der Nachweis wird unter einem zufälligen Dateinamen in einem nicht öffentlichen Bereich gespeichert und nur zur Prüfung des Antrags verwendet (Art. 6 Abs. 1 lit. b DSGVO). Wird der Antrag abgelehnt, löschen wir Angaben und Nachweis; wird er angenommen, bewahren wir sie auf, solange du am Reseller-Programm teilnimmst.

8. Cookies, lokale Speicherung und Einwilligung

Wir speichern auf deinem Gerät nur Folgendes:

• Sitzungs-Cookie „PFXSESS“: hält dich nach dem Login angemeldet und schützt Formulare vor Fälschung (CSRF). Es ist nur für unsere Website lesbar (HttpOnly, SameSite=Lax, bei HTTPS „Secure“). Technisch notwendig, ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG). Es wird beim Schließen des Browsers bzw. beim Abmelden gelöscht.
• Deine Auswahl im Cookie-Hinweis (lokaler Speicher „ph-consent“): technisch notwendig, damit wir dich nicht bei jedem Aufruf erneut fragen (§ 25 Abs. 2 Nr. 2 TDDDG).
• Ob du die Einführungs-Tour im Kundenbereich schon gesehen hast, speichern wir an deinem Kundenkonto und nicht in deinem Browser (Art. 6 Abs. 1 lit. b DSGVO). Der Eintrag wird mit deinem Konto gelöscht.

Analyse-, Tracking- oder Marketing-Cookies setzen wir nicht ein. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ unten auf jeder Seite ändern oder widerrufen. Lokal gespeicherte Einträge kannst du außerdem jederzeit in deinem Browser löschen.

9. Externe Ressourcen beim Seitenaufruf

Bilder, Stylesheets und unsere eigenen Skripte liefern wir von unserem eigenen Server aus; als Schrift nutzen wir die bereits auf deinem Gerät installierte Systemschrift. Ausnahme sind die Symbole (siehe Font Awesome).

Font Awesome: Für die Symbole binden wir Font Awesome ein, einen Dienst der Fonticons, Inc. (USA). Dein Browser lädt dafür beim Seitenaufruf ein Skript von kit.fontawesome.com sowie Symbol- und Schriftdateien von ka-f.fontawesome.com. Dabei werden technisch bedingt deine IP-Adresse, Datum und Uhrzeit des Abrufs, die aufgerufene Seite und Angaben zu Browser und Betriebssystem an Fonticons übermittelt; eine Übermittlung in die USA ist möglich. Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen und gut lesbaren Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen (Art. 21 DSGVO), z. B. indem du das Laden externer Skripte in deinem Browser blockierst; die Seite bleibt dann nutzbar, es fehlen nur Symbole. Weitere Informationen: fontawesome.com/privacy.

Anmeldung mit Google oder Discord (optional): Nur wenn du selbst auf „Anmelden mit Google“ bzw. „Anmelden mit Discord“ klickst, leiten wir dich zum jeweiligen Anbieter weiter (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland bzw. Discord Netherlands BV, Schiphol Boulevard 195, 1118 BG Schiphol, Niederlande). Dort meldest du dich an und gibst die Weitergabe frei. Wir erhalten anschließend deine Konto-ID beim Anbieter, deinen Namen und deine bestätigte E-Mail-Adresse – keine Passwörter, Kontakte oder Nachrichten. Diese Daten nutzen wir ausschließlich, um dein Kundenkonto anzulegen bzw. dich anzumelden (Art. 6 Abs. 1 lit. b DSGVO). Verknüpfst du in den Einstellungen deinen Discord-Account, speichern wir zusätzlich deinen Discord-Anzeigenamen, deinen Benutzernamen und eine Kopie deines Profilbilds, um sie dir im Kundenbereich anzuzeigen. Das Profilbild lädt unser Server einmalig von Discord herunter und liefert es selbst aus; dein Browser stellt dafür keine Verbindung zu Discord her. Mit „Verknüpfung lösen“ werden diese Angaben und das Bild sofort gelöscht. Bei verknüpftem Discord-Account schickt dir unser Discord-Bot außerdem Hinweise per Direktnachricht – bei einer neuen Anmeldung (Anmeldeart, Browser und Betriebssystem, Uhrzeit; keine IP-Adresse), bei neuen Tickets und bei Antworten des Supports. Das dient der Sicherheit deines Kontos und der Abwicklung deiner Anfragen (Art. 6 Abs. 1 lit. b und f DSGVO). Die Nachrichten werden über Discord zugestellt; ausstehende Hinweise löschen wir nach spätestens 7 Tagen. Du kannst die Direktnachrichten in den Einstellungen jederzeit ausschalten. Für die Verarbeitung beim Anbieter gelten dessen Datenschutzbestimmungen; dabei kann eine Übermittlung in die USA stattfinden, die auf dem EU-US Data Privacy Framework beruht. Du kannst dich jederzeit auch ohne diese Dienste mit E-Mail und Passwort registrieren.

10. Empfänger deiner Daten

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff, die ihn für ihre Aufgabe brauchen. Externe Empfänger sind – je nach genutzter Leistung:

• Infrastrukturpartner für Server und Webspace: Bukkit-Hosting (bukkit-hosting.eu) und 0.jetzt – technische Bestelldaten, keine Kontaktdaten
• Domain-Registrierung: Registrierungspartner, Registrar und Vergabestelle (z. B. DENIC eG) – Inhaberdaten der Domain
• Zahlungen: Mollie B.V., Niederlande – Betrag und Zahlungsstatus; Zahlungsdaten gibst du direkt bei Mollie ein
• Buchhaltung: unser Buchhaltungsprogramm und unsere Steuerberatung – Rechnungsdaten
• Symbole: Fonticons, Inc. (Font Awesome), USA – technische Verbindungsdaten beim Seitenaufruf
• E-Mail-Versand: Brevo (Sendinblue SAS), Frankreich, innerhalb der EU – E-Mail-Adresse und Nachrichteninhalt der Bestätigungs- und Warnmails
• Discord-Webhook: Discord Inc., USA – nur wenn du einen Webhook einträgst; die Meldungen gehen an deinen eigenen Kanal
• Gameserver-Panel: Pterodactyl-Panel des Betreibers, bei dem deine Gameserver laufen – Kontodaten für das Panel und der Server
• Optionale Anmeldung und Support: Google Ireland Limited und Discord Netherlands BV – nur wenn du diese Dienste selbst nutzt

Mit Dienstleistern, die in unserem Auftrag Daten verarbeiten, schließen wir Verträge nach Art. 28 DSGVO. Behörden erhalten Daten nur, soweit wir gesetzlich dazu verpflichtet sind (z. B. auf Grundlage einer gerichtlichen Anordnung).

Übermittlungen in Länder außerhalb der EU/des EWR (insbesondere in die USA, siehe Font Awesome, Google, Discord) erfolgen nur, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt – für die USA das EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist – oder geeignete Garantien wie EU-Standardvertragsklauseln (Art. 46 DSGVO) bestehen.

11. Speicherdauer im Überblick

Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Im Einzelnen:

• Fehlgeschlagene Anmeldeversuche und Missbrauchszähler: 24 Stunden
• Server-Logdateien: höchstens 30 Tage
• API-Protokoll (falls du die API nutzt): 30 Tage
• IP-Adressen im Aktivitätsprotokoll: 90 Tage, danach bleibt nur der Eintrag ohne IP
• Minutenwerte der Bandbreite: nur kurz zwischengespeichert
• Erkannte DDoS-Vorfälle (Beginn, Dauer, Spitze, Art): höchstens 12 Monate
• Bandbreitenzähler der Gameserver: 30 Tage
• Protokoll der E-Mail-Warnungen (Konto, Art, Zeitpunkt, kein Inhalt): 12 Monate
• Discord-Webhook-URL: bis du sie entfernst oder dein Konto löschst
• Bestätigungscodes für E-Mail-Adressen: 15 Minuten, danach ungültig
• Ausstehende Discord-Benachrichtigungen: höchstens 7 Tage, Zugangsschlüssel für den Server-Beitritt höchstens 1 Tag
• Kontodaten, Tickets und Aktivitätsprotokoll: bis zur Löschung deines Kontos
• Zugangsdaten zu Produkten: bis zum Ende der jeweiligen Laufzeit
• Rechnungen und Buchungsbelege: 8 Jahre, Handelsbriefe 6 Jahre (§ 147 AO, § 257 HGB)

12. Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem:

• Verschlüsselte Verbindungen (TLS) mit HSTS, sodass Browser nur noch verschlüsselt verbinden
• Passwörter ausschließlich als Hash (bcrypt), Geheimnisse wie Zwei-Faktor-Schlüssel und Server-Passwörter verschlüsselt (AES-256-GCM)
• Optionale Zwei-Faktor-Anmeldung mit einer Authenticator-App und Hinweise bei neuen Anmeldungen
• Schutz vor Formularfälschung (CSRF-Token), Begrenzung von Anmelde- und Formularversuchen
• Sicherheits-Header (u. a. Content-Security-Policy), interne Dateien und Ordner sind von außen nicht abrufbar
• Zugriff auf Kundendaten nur für Personen, die ihn für ihre Aufgabe brauchen; Administratorzugänge sind gesondert geschützt

Absolute Sicherheit gibt es nicht – bitte wähle ein starkes, nur hier verwendetes Passwort und aktiviere die Zwei-Faktor-Anmeldung.

13. Keine automatisierten Entscheidungen

Wir treffen keine Entscheidungen, die allein auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten (Art. 22 DSGVO). Automatisch sind lediglich die technische Bereitstellung bestellter Produkte, das Beenden abgelaufener Produkte und die Erkennung von Lastspitzen; über Sperrungen entscheidet immer ein Mensch.

14. Deine Rechte

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO) – auch direkt als Datenexport im Kundenbereich
• Berichtigung unrichtiger Daten (Art. 16 DSGVO) – die meisten Angaben kannst du selbst in den Einstellungen ändern
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht – auch direkt über „Konto löschen“
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Schreib uns dazu einfach an [email protected]. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) und können zur Sicherheit nachfragen, ob die Anfrage wirklich von dir stammt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO) – zuständig ist für uns die Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem wir unseren Sitz haben; du kannst dich aber auch an die Behörde an deinem Wohnort oder Arbeitsplatz wenden.

14a. Minderjährige

Unsere Leistungen richten sich an Personen ab 13 Jahren. Minderjährige brauchen für einen Vertragsschluss die Zustimmung ihrer Erziehungsberechtigten. Details findest du in unserer Elterninformation.

15. Änderungen

Wenn sich unsere Angebote oder Datenverarbeitungen ändern, passen wir diese Erklärung an. Die jeweils aktuelle Fassung findest du immer hier; das Datum steht unten auf der Seite.

Stand: 07.11.2026